Jetzt updaten: Cisco patcht gegen eine von zwei Remote-Attacken
Zwei Cisco-Produkte sind aus der Ferne angreifbar. Updates gibt es aber wohl nur für Common Services Platform Collector – das IP-Telefon SPA514G ist zu alt.
(Bild: dpa, Monica M. Davey/Archiv)
Zwei Cisco-Produkte sind aufgrund von Sicherheitslücken von Angriffen aus der Ferne bedroht. Eine mit dem Sicherheitsrisiko "hoch" bewertete Lücke steckt im IP-Telefon-Modell Small Business SPA514G IP. Die zweite betrifft die Software Common Services Platform Collector (CSPC) und gilt als kritisch. Die Cybersecurity and Infrastructure Security Agency (CISA) rät zum Einspielen der benötigten Updates – allerdings ist in Wirklichkeit nur eines verfügbar, nämlich für CSPC.
Derzeit häufen sich (auch bei Cisco) Meldungen zu Sicherheitsproblemen, die aus der Existenz von Default-Accounts resultieren. Dies ist laut Ciscos Sicherheitshinweis auch bei der CSPC-Software der Fall. Admin-Rechte besitze der Account, an dem sich entfernte Angreifer mit einem voreingestelltem Standard-Passwort anmelden könnten, allerdings nicht. Betroffen sind alle Cisco CSPC Releases von 2.7.2 bis einschließlich 2.7.4.5 sowie 2.8.x bis 2.8.1.2 exklusive.
Die abgesicherten Versionen 2.7.4.6 für CSPC 2.7.x sowie 2.8.1.2 für Cisco CSPC 2.8.x können Kunden aus dem Software-Center des Herstellers herunterladen. Eine detaillierte Schilderung der Vorgehensweise und alternative Workarounds sind dem Sicherheitshinweis zu entnehmen.
Aktualisierungen für Small Business SPA514G?
Im Fall des IP-Telefons benötigen Angreifer keinerlei Zugangsdaten: Mittels präparierter Session Initiation Protocol (SIP)-Nachrichten können sie einen Denial-of-Service-Zustand provozieren, der anhält, bis das Gerät manuell neu gestartet wird. Im Sicherheitshinweis zur Lücke verweist Cisco auf einen End-of-Sale- und End-of-Life-Hinweis für das SPA514G und betont, dass es keine Updates mehr geben werde.
Im Widerspruch dazu steht allerdings ein ebenfalls verlinktes Kontaktormular, in dem von einem Hardware-Upgrade die Rede ist. Falls sich Nutzer nicht sofort, wie von Cisco empfohlen, ein neueres Gerät zulegen wollen, können Sie unter Angabe ihrer Kundendaten und Seriennummern der Geräte zumindest ihr Glück versuchen.
(ovw)
