Sicherheitsupdates: DoS-Angriffe auf Cisco-Netzwerkhardware möglich

Damit Angreifer nicht an Schwachstellen ansetzen können, sollten Netzwerk-Admins mit Cisco-Geräten die Software schnellstmöglich auf den aktuellen Stand bringen. In den meisten Fällen stürzen Geräte nach erfolgreichen Attacken ab.

Weil die Auflistung der betroffenen Geräte und Sicherheitsupdates den Rahmen dieser Meldung sprengt, finden Admins diese Informationen in den unterhalb dieses Beitrags verlinkten Warnmeldungen. Bislang gibt es keine Meldungen, ob es bereits Attacken gibt.

Router per DoS-Attacke lahmlegen

Von den Sicherheitslücken im Netzwerkbetriebssystem IOS und IOS XE sind unter anderem verschiedene Routermodelle bedroht. Aufgrund von unzureichenden Überprüfungen im Kontext von Unified Threat Defense (UTD) können Angreifer etwa mit präparierten Datenverkehr an einer Lücke (CVE-2024-20455 "hoch") ansetzen.

Klappt so eine Attacke, zieht das einen DoS-Zustand nach sich. In so einem Fall stürzen Geräte ab und sind im schlimmsten Fall ohne manuelles Eingreifen nicht mehr verfügbar. Damit so ein Angriff klappt, muss aber UTD aktiv sein. Davon sind konkret beispielsweise 1000 Series Integrated Services Routers (ISRs) und Catalyst 8500L Edge Platforms bedroht.

Weitere mögliche Attacken

Außerdem können Angreifer an einer Schwachstelle (CVE-2024-20437 "hoch") im webbasierten Management-Interface von IOS XE ansetzen und so eigene Befehle ausführen. Dafür muss aber ein Opfer mit Authentifizierung auf einen vom Angreifer präparierten Link klicken.

Aufgrund eines statischen SSH-Schlüssels in Catalyst Center können sich Angreifer als Man-in-the-Middle in Verbindungen einklinken (CVE-2024-20350 "hoch").

Liste nach Bedrohungsgrad absteigend sortiert:

• Catalyst SD-WAN Routers Denial of Service
• IOS and IOS XE Software Resource Reservation Protocol Denial of Service
• IOS XE Software Protocol Independent Multicast Denial of Service
• IOS XE Software SD-Access Fabric Edge Node Denial of Service
• IOS XE Software HTTP Server Telephony Services Denial of Service
• IOS XE Software IPv4 Fragmentation Reassembly Denial of Service
• Catalyst Center Static SSH Host Key
• IOS and IOS XE Software Web UI Cross-Site Request Forgery
• Catalyst SD-WAN Manager Cross-Site Scripting
• SD-WAN vEdge Software UDP Packet Validation Denial of Service
• IOS Software on Cisco Industrial Ethernet Series Switches Access Control List Bypass
• Unified Threat Defense Snort Intrusion Prevention System Engine for Cisco IOS XE Software Security Policy Bypass and Denial of Service
• IOS XE Software for Wireless Controllers CWA Pre-Authentication ACL Bypass
• Catalyst 9000 Series Switches Denial of Service

(des)