Sicherheits-Updates von Cisco
Die Updates beseitigen Schwachstellen in Cisco IOS, in IronPort-Produkten und der Optical Transport Platform.
- Daniel Bachfeld
Cisco hat in einem Fehlerbericht auf zwei Cross-Site-Scripting-Lücken im IOS HTTP Server hingewiesen. Eine davon findet sich im Ping-Skript (http://192.168.100.1/ping?<script>alert("Hallo")</script>), zur anderen gibt es keine öffentlichen Details. Betroffen sind bestimmte Releases der IOS-Versionen 12.0, 12.1, 12.2, 12.3 und 12.4. Einzelheiten dazu sind im Originalbericht von Cisco zu finden. Updates beheben das Problem.
Eine weitere Lücke hat Cisco für seine Optical Transport Platform ONS gemeldet: Eine Folge bestimmter TCP-Pakete an die Control-Cards eines ONS führt zum Reset einer Karte. Für einen erfolgreichen Angriff ist allerdings eine etablierte TCP-Verbindung notwendig, weshalb die Attacke nicht mit gespooften Adressen funktioniert. Betroffen sind Cisco 15310-CL, 15310-MA, ONS 15327, ONS 15454, ONS 15454 SDH und ONS 15600. Betroffen sind sie Software-Stände 7.0, 7.2, 8.0 und 8.5. Auch hierfür stehen Updates bereit.
Darüber hinaus beseitigt Cisco vier Schwachstellen in Produkten der im Jahr 2007 übernommenen IronPort-Sparte. Unter bestimmten Umständen soll es bei der IronPort PXE Encryption möglich sein, dass ein Angreifer durch Mitlesen von Mails an den Per-Mail-Encryption-Key gelangt und eine Mail entschlüsseln kann. Zudem weist das Webmanagement der IronPort Encryption Appliance zwei Cross-Site-Request-Forgery-Schwachstellen auf, über die ein Angreifer Einstellungen ändern kann.
Siehe dazu auch:
- Cisco IOS Cross-Site Scripting Vulnerabilities, Fehlerbericht von Cisco
- Cisco ONS Platform Crafted Packet Vulnerability, Fehlerbericht von Cisco
- XSS on Cisco IOS HTTP Server, Fehlerbericht von ProCheckUp
