Kritische Lücken in Cisco Data Center Network Manager

  • Tipp

  • mad.de
  • 977 Aufrufe 0 Antworten

Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

  • Kritische Lücken in Cisco Data Center Network Manager

    Eine Schwachstelle gefährdet Netzwerkgeräte von Cisco. Ein Sicherheitsupdate schließt mehrere Schlupflöcher.

    Wer Cisco Data Center Network Manager zum Verwalten von Netzwerken nutzt, sollte sicherstellen, dass die aktuelle Version der DCNM-Software installiert ist. Ansonsten könnten Angreifer aus der Ferne ohne Anmeldung in Netzwerke eindringen und die Kontrolle über Geräte erlangen. Cisco zufolge nutzen Angreifer die Lücken derzeit nicht aus. Nichtsdestotrotz sollten Admins das Sicherheitsupdate zügig installieren.

    Cisco versichert, dass die DCNM-Version 11.1(1) abgesichert ist. Alle vorigen Ausgaben sollen bedroht sein. Zwei Lücken (CVE-2019-1619, CVE-2019-1620) sind mit dem Bedrohungsgrad "kritisch" eingestuft und schrammen mit einem CVSS Score von 9.8 nur knapp am Höchstwert vorbei, warnt Cico in seinem Sicherheitscenter.

    Vergleichsweise triviale Attacken
    Um die Schwachstellen auszunutzen, muss ein Angreifer lediglich präparierte Pakete hochladen oder spezielle vorbereitete HTTP-Anfragen abschicken. Das Ergebnis ist in beiden Fällen das gleiche und ein Angreifer soll eigenen Code mit weitreichenden Rechten ausführen können. In diesem Stadium gelten Netzwerkgeräte als komplett kompromittiert und Angreifer haben die volle Kontrolle.

    Über zwei weitere Lücken (CVE-2019-1621, CVE-2019-1622) könnten Eindringlinge noch auf Dateien und Informationen von Netzwerkgeräten zugreifen. Cisco hat die Schwachstellen mit dem Risiko "hoch" und "mittel" versehen.

    Auch hier löst die aktualisierte DCNM-Version die Sicherheitsprobleme.

    Liste nach Bedrohungsgrad absteigend sortiert:
    Data Center Network Manager Arbitrary File Upload and Remote Code Execution
    Data Center Network Manager Authentication Bypass
    Data Center Network Manager Arbitrary File Download
    Data Center Network Manager Information Disclosure

    Quelle: Kritische Lücken in Cisco Data Center Network Manager | heise online