Kritische Lücke mit Höchstwertung in Ciscos Betriebssystem ISO EX
Es gibt Sicherheitsupdates für verschiedene Betriebssystem-Versionen für Netzwerkgeräte von Cisco.
Ciscos Netzwerkbetriebssysteme IOS, IOS EX und NX-OS sind verwundbar. Demzufolge könnten Angreifer damit ausgestattete Router und Switches attackieren und im schlimmsten Fall die volle Kontrolle über Geräte erlangen. Sicherheitsupdates stehen zum Download bereit.
Die kritischste Lücke (CVE-2019-12643, CVSS Score 10 von 10) findet sich in REST API Container von IOS XE. Die API ist aber standardmäßig nicht aktiviert. Davon sind folgende Geräte bedroht:
- Cisco 4000 Series Integrated Services Routers
- Cisco ASR 1000 Series Aggregation Services Routers
- Cisco Cloud Services Router 1000V Series
- Cisco Integrated Services Virtual Router
Aufgrund einer unzureichenden Überprüfung könnten Angreifer durch das alleinige Versenden von präparierten HTTP-Anfragen ein token-id eines authentifizierten Nutzers erhalten. Damit ausgerüstet könnten sie den Anmeldeprozess umgehen und so eigene Befehle auf Geräte ausführen.
Noch mehr Schwachstellen
Geräte mit NX-OS sind für von Angreifern ausgehenden IPv6-Paketen gefährdet. Darüber könnten sie den Netstack-Prozess oder gleich das ganze Gerät zu einem Neustart zwingen (DoS-Attacke). Die Fabric-Services-Komponente von NX-OS kann sich an TCP-Paketen verschlucken und so ebenfalls einen Neustart auslösen. Beide Sicherheitslücken sind mit dem Bedrohungsgrad "hoch" eingestuft.
Hat ein Angreifer gültige Zugangsdaten für Unified Computing System Interconnect, könnte er sich durch das erfolgreiche Ausnutzen einer Lücke Root-Rechte erschleichen. Mehr Informationen zu allen jüngst geschlossenen Schwachstellen und Updates kann man den verlinkten Sicherheitswarnungen entnehmen.
Liste nach Bedrohungsgrad absteigend sortiert.
- REST API Container for IOS XE Software Authentication Bypass
- NX-OS Software IPv6 Denial of Service
- NX-OS Software Cisco Fabric Services over IP Denial of Service
- NX-OS Software Network Time Protocol Denial of Service
- IOS and IOS XE Software Network-Based Application Recognition Denial of Service
- Unified Computing System Fabric Interconnect root Privilege Escalation
- NX-OS Software Remote Management Memory Leak Denial of Service
- FXOS and NX-OS Software Authenticated Simple Network Management Protocol Denial of Service
- Nexus 9000 Series Fabric Switches ACI Mode Border Leaf Endpoint Learning
- NX-OS Software SNMP Access Control List Configuration Name Bypass
- NX-OS Software NX-API Denial of Service
(des)
