Cisco warnt vor teils kritischen Lücken und liefert Updates für mehrere Produkte
In mehreren Cisco-Produkten lauern Sicherheitslücken, die Updates schließen sollen. Eine gilt sogar als kritisch.
(Bild: Black_Kira/Shutterstock.com)
Der Netzwerkausrüster Cisco warnt vor teils kritischen Sicherheitslücken in mehreren Produkten. Aktualisierungen stehen bereit, die die sicherheitsrelevanten Fehler ausbügeln sollen.
Am schwersten hat es Ciscos Broadworks Application-Delivery-Platform sowie die Xtended-Services-Platform getroffen. Eine Schwachstelle in der Single-Sign-On-Implementierung ermöglicht nicht authentifizierten Angreifern aus dem Netz, Zugangsdaten für den Zugriff auf betroffene Systeme zu fälschen (CVE-2023-20238, CVSS 10.0, Risiko "kritisch"). Zum Ausnutzen der Lücke bräuchten sie lediglich eine gültige User-ID. Bei einem administrativen Konto erlaube das den Einblick in vertrauliche Informationen, das Verstellen von Kundeneinstellungen oder das Verändern von Einstellungen für andere Zugänge.
Cisco-Lücken mit Risiko-Einstufung kritisch oder hoch
Betroffen sind die Apps AuthenticationService, BWCallCenter, BWReceptionist, CustomMediaFilesRetrieval, ModeratorClientApp, PublicECLQuery, PublicReporting, UCAPI, Xsi-Actions, Xsi-Events, Xsi-MMTel und Xsi-VTR. In der Sicherheitsmeldung listet der Hersteller auch nicht betroffene Apps auf. Die Versionen AP.platform.23.0.1075.ap385341 sowie 2023.06_1.333 und 2023.07_1.332 der Cisco BroadWorks Application Delivery Platform and BroadWorks Xtended Services schließen die Lücke. Wer noch Release 22.0 oder ältere Versionen einsetzt, soll auf die vorgenannten Releases oder neuere aktualisieren.
Die Cisco Identity Services Engine (ISE) bringt einen RADIUS-Server mit. Aufgrund einer Schwachstelle bei der Nachrichtenverarbeitung können nicht authentifizierte bösartige Akteure aus dem Netz das System dazu bringen, keine weiteren RADIUS-Pakete zu verarbeiten – ein Denial-of-Service-Angriff ist möglich (CVE-2023-20243, CVSS 8.6, hoch). Laut Sicherheitsmeldung von Cisco genügen dazu präparierte Anfragepakete. Verwundbar sind Cisco ISE 3.1 und 3.2, andere Zweige haben das Problem nicht. Mit den Patch-Levels 3.1P7 respektive 3.2P3 dichtet der Hersteller die Schwachstellen ab.
Vergangene Woche hat Cisco vor Angriffen auf VPNs ohne Mehrfaktorauthentifizierung gewarnt. Die Lücke behandelt die Sicherheitsmeldung zu Ciscos ASA und Firepower. Cisco stuft sie lediglich als mittleres Risiko ein.
Weitere Produkte sind von Sicherheitslücken betroffen, die Cisco lediglich als mittleren Bedrohungsgad einstuft. Die Übersicht der neuen Sicherheitsmeldungen:
Cisco BroadWorks Application Delivery Platform and Xtended Services Platform Authentication Bypass Vulnerability (CVE-2023-20238, CVSS 10.0, Risiko "kritisch")
Cisco Identity Services Engine RADIUS Denial of Service Vulnerability (CVE-2023-20243, CVSS 8.6, hoch)
Cisco Small Business RV110W, RV130, RV130W, and RV215W Routers Stack Overflow Vulnerability (CVE-2023-20250, CVSS 6.5, mittel)
Cisco Identity Services Engine Privilege Escalation Vulnerabilities (CVE-2023-20193, CVE-2023-20194; beide CVSS 6.0, mittel)
Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Remote Access VPN Unauthorized Access Vulnerability (CVE-2023-20269, CVSS 5.0, mittel)
Cisco HyperFlex HX Data Platform Open Redirect Vulnerability (CVE-2023-20263, CVSS 4.7, mittel)
IT-Verantwortliche sollten die bereitstehenden Aktualisierungen zügig anwenden, um die Angriffsfläche zu minimieren. Zuletzt hatte Cisco Mitte August mehrere Schwachstellen in einigen Produkten auszubessern. Angreifer hätten sich dadurch etwa Root-Rechte verschaffen können.
Hinweis zu den bereits laufenden Angriffen auf VPNs ohne MFA ergänzt.
(dmk)
