Kritische Root-Lücken gefährden Ciscos Fernzugriff-Software Expressway Series
Der Netzwerkhersteller Cisco hat wichtige Sicherheitsupdates für Expressway Series, StarOS & Co. veröffentlicht.
Angreifer könnten mit der Fernzugriff-Software Expressway Series in aufgebaute Verbindungen eingreifen und im schlimmsten Fall Schadcode mit Root-Rechten auf Systemen ausführen. Sicherheitsupdates stehen zum Download bereit.
Systeme vollständig kompromittieren
In einer Warnmeldung führt Cisco aus, dass die beiden "kritischen" Lücken (CVE-2022-20754, CVE-2022-20755) neben Expressway Series auch die Videokonferenz-Software TelePresence Video Communication Server betreffen. Der Hersteller von Netzwerk-Equipment gibt an, dass sie bislang keine Attacken beobachtet haben.
In beiden Fällen könnten authentifizierte Angreifer aus der Ferne aufgrund von unzureichenden Überprüfungen bestimmte Befehle an verwundbare Systeme schicken und so mit Root-Rechten auf das zugrundeliegende Betriebssystem zugreifen. Klappt das, könnten sie Dateien überschreiben oder sogar eigenen Code ausführen. Cisco gibt an, dass die Version 14.0.5 gegen solche Attacken abgesichert ist.
Weitere Schwachstellen
Ciscos 5G-Umgebung Cloud Core ist ebenfalls verwundbar. Hier könnte ein lokal angemeldeter Angreifer an einer Schwachstelle (CVE-2022-20762 "hoch") in Common Execution Enviroment (CEE) ConfD CLI ansetzen. Aufgrund ungenügenden Zugangskontrollen könnte er am Ende mit Root-Rechten dastehen. Die Ausgaben 2020.02.2.47 und 2020.02.7.07 sollen dagegen abgesichert sein.
In StarOS könnten sich Angreifer ebenfalls Root-Rechte verschaffen. Damit das klappt, müssten authentifizierte Angreifer mit Admin-Rechte und lokalem Zugriff mit präparierten Kommandos am Command Line Interface ansetzen. Davon unbetroffen sind StarOS 21.25 und 21.26. Kommen andere Ausgaben zum Einsatz, sollten Admins die reparierten Versionen 21.22.n6, 21.22.12, 21.23.n7 oder 21.23.11 installieren.
Liste nach Bedrohungsgrad absteigend sortiert:
- Expressway Series and Cisco TelePresence Video Communication Server
- Ultra Cloud Core - Subscriber Microservices Infrastructure Privilege Escalation
- StarOS Command Injection
(des)
