Sicherheitsupdates: Lücken in Cisco HyperFlex machen Angreifer zum Root
Cisco hat wichtige Sicherheitsupdates für verschiedenen Produkte veröffentlicht. Keine der Lücken gilt als kritisch.
Angreifer könnten Ciscos HyperFlex über zwei Sicherheitslücken attackieren, um Schadcode mit Root-Rechten auszuführen. HyperFlex ist eine Plattform zum Verwalten von hyperkonvergenten Infrastrukturen. Für dieses und weitere Sicherheitsprobleme in anderen Produkten hat der Netzwerkausrüster nun Updates veröffentlicht.
Um die eine Lücke (CVE-2018-15380) auszunutzen, muss sich ein Angreifer lediglich mit dem Cluster-Service-Manager verbinden und kann dann Befehle in den Bound-Prozess injizieren. Zum Ausnutzen der anderen Schwachstelle (CVE-2019-1664) ist einer Verbindung zum hxterm-Service nötig. In dieser Position könnte ein Exploit Root-Rechte für alle Kontenpunkte verschaffen. Beide Sicherheitslücken sind mit dem Bedrohungsgrad "hoch" eingestuft. In diesem Konext wirken die Einstufungen nicht ganz passend, da Angreifer offenbar mit vergleichsweise wenig Aufwand Root werden können. In der Regel sind derartige Lücken als "kritisch" eingestuft.
Noch mehr Schwachstellen
Darüber hinaus sind noch weitere Produkte des Netzwerkausrüster angreifbar. Darunter beispielsweise Firepower 9000 Series, Prime Infrastructure und Webex. Weitere Infos dazu führt Cisco in seinem Sicherheitscenter aus.
Außerdem kümmert sich Cisco bei betroffenen Produkten um eine jüngst publik gewordene Lücke in Container-Runtime runc. Darüber könnten Angreifer aus privilegierten Containern ausbrechen und Root-Rechte erlangen.
Liste nach Bedrohungsgrad absteigend sortiert.
- Container Privilege Escalation Vulnerability Affecting Cisco Products
- HyperFlex Software Command Injection
- HyperFlex Software Unauthenticated Root Access
- Prime Collaboration Assurance Software Unauthenticated Access
- Network Convergence System 1000 Series TFTP Directory Traversal
- Prime Infrastructure Certificate Validation
- IP Phone 7800 and 8800 Series Cisco Discovery Protocol and Link Layer Discovery Protocol Denial of Service
- Webex Teams for iOS Arbitrary File Upload
- SPA112, SPA525, and SPA5x5 Series IP Phones Certificate
- Firepower 9000 Series Firepower 2-Port 100G Double-Width Network Module Queue Wedge Denial of Service
- Unity Connection Reflected Cross-Site Scripting
- Firepower Threat Defense Software SSL or TLS Denial of Service
- HyperFlex Unauthenticated Statistics Retrieval
- IoT Field Network Director XML External Entity
- Hyperflex Stored Cross-Site Scripting
- Webex Meetings Online Content Injection
- HyperFlex Arbitrary Statistics Write
[UPDATE, 25.02.2019 09:00 Uhr]
Einschätzung der Root-Lücken im Fließtext eingefügt. (des)
