Wichtige Sicherheitsupdates für Cisco Wireless LAN Controller & Co.

Mehrere Produkte des Netzwerkausrüsters Cisco sind angreifbar. Darunter beispielsweise doe Aggregation Services Routers der ASR-9000-Series, Aironet Series Access Points und Wireless LAN Controller. Eine Sicherheitslücke gilt als "kritisch", sechs Schwachstellen sind mit dem Bedrohungsgrad "hoch" eingestuft. Aktuelle Update lösen die Sicherheitsprobleme.

Die Lücke in der 64-Bit-Software IOS XR der ASR-9000-Series weist das Angriffsrisiko "kritisch" auf. Aufgrund einer mangelnden Abschottung könnte ein Angreifer aus der Ferne auf virtuelle Maschinen mit sysadmin-Level zugreifen und so einen Fernzugriff auf Geräte erlangen und diese beispielsweise lahmlegen.

Root-Zugriff

Zwei Schwachstellen in der Wireless-LAN-Controller-Software weisen den Bedrohungsgrad "hoch" auf. Auch hier sind DoS-Attacken vorstellbar. Über eine XML-Payload könnte ein Angreifer Expressway Series und TelePresence Video Communication Server lahmlegen. Bei verwundbaren Aironet Access Points könnte sich ein Angreifer wegen einer nicht ausreichenden Prüfung Root-Rechte für das zugrundeliegende Linux-System aneignen.

Weitere mit dem Bedrohungsgrad "mittel" versehen Lücken finden sich etwa in DNA Center, Identity Service Engine und Umbrella. Hier sind DoS- und XSS-Attacken vorstellbar.

Liste nach Bedrohungsgrad absteigend sortiert.

• IOS XR 64-Bit Software for Cisco ASR 9000 Series Aggregation Services Routers Network Isolation
• Prime Network Registrar Denial of Service
• Wireless LAN Controller Software Cross-Site Request Forgery
• Aironet Series Access Points Development Shell Access
• Expressway Series and Cisco TelePresence Video Communication Server Denial of Service
• Wireless LAN Controller Software IAPP Message Handling Denial of Service
• Aironet Series Access Points Denial of Service
• Wireless LAN Controller Software GUI Configuration Denial of Service
• Aironet Series Access Points Quality of Service Denial of Service
• Expressway Series and Cisco TelePresence Video Communication Server Denial of Service
• Aironet Series Access Points Command Injection
• DNA Center Unintended Proxy Via SWIM Import Interface
• Expressway Series and Cisco TelePresence Video Communication Server Cross-Site Request Forgery
• Identity Services Engine Cross-Site Scripting
• Umbrella Cross-Site Scripting
• Email Security Appliance Content Filter Bypass
• IOS XR Software Protocol Independent Multicast Denial of Service
• ASR 9000 Series Aggregation Services Routers ACL Bypass
• UCS B-Series Blade Servers Local Management CLI Arbitrary File Creation or CLI Parameter Injection
• Wireless LAN Controller Secure Shell Unauthorized Access
• Registered Envelope Service Stored Cross-Site Scripting
• Identity Services Engine SSL Renegotiation Denial of Service
• Wireless LAN Controller Software Session Hijacking
• IOS XR gRPC Software Denial of Service
• Unified Communications Manager Denial of Service
• Directory Connector Search Order Hijacking
• Wireless LAN Controller Locally Significant Certificate Denial of Service
• Firepower Management Center Persistent Cross-Site Scripting
• Aironet Series Access Points Directory Traversal

(des)