Angreifer könnten verschiedene Produkte des Netzwerkausrüsters Cisco attackieren und im schlimmsten Fall die volle Kontrolle übernehmen. Admins sollten in der untenstehenden Liste prüfen, ob sie gefährdete Software einsetzen und diese umgehend patchen.
Als "kritisch" gilt eine Sicherheitslücke (CVE-2020-3158) in Smart Software Manager zum Verwalten von Aktivierungsschlüsseln und Lizenzen. Das Problem ist ein System-Account mit hohen Nutzerrechten, der über ein statisches Standard-Passwort aufrufbar ist. Meldet sich ein Angreifer darüber an, kann er auf das System zugreifen. Dabei soll er aber keine vollen Admin-Rechte haben.
Die Software ist aber nur verwundbar, wenn das High-Availability-Feature (HA) aktiv ist, was standardmäßig nicht der Fall ist. In der Warnmeldung führt Cisco aus, wie Admins prüfen können, ob HA aktiviert ist oder nicht.
Noch mehr Sicherheitslücken
Mit dem Bedrohungsgrad "hoch" eingestufte Schwachstellen finden sich in Data Center Network Manager, Email Security Appliance, IOS XR und UCS-Based Products. Mit erfolgreichen Attacken könnten Angreifer höhere Nutzerrechte bekommen. Auch DoS-Angriffe sind vorstellbar.
Identity Services Engine, Meeting Server und Co. sind über mit dem Angriffsrisiko "mittel" versehene Lücken attackierbar. Hier sind vor allem DoS- oder XSS-Attacken möglich.
Liste nach Bedrohungsgrad absteigend sortiert:
- Smart Software Manager On-Prem Static Default Credential
- Data Center Network Manager Privilege Escalation
- Email Security Appliance Denial of Service
- Data Center Network Manager Cross-Site Request Forgery
- Email Security Appliance and Cisco Content Security Management Appliance Denial of Service
- Unified Contact Center Express Privilege Escalation
- Unified Contact Center Enterprise Denial of Service
- Email Security Appliance Shortened URL Denial of Service
- Enterprise NFV Infrastructure Software Remote Code Execution
- AnyConnect Secure Mobility Client for Windows Uncontrolled Search Path
- Cisco UCS-Based Products UEFI Secure Boot Bypass
- Identity Services Engine Cross-Site Scripting
- Finesse Web-Based Management Interface Cross-Site Scripting
- Meeting Server Extensible Messaging and Presence Protocol Denial of Service
- Cloud Web Security SQL Injection
- Data Center Network Manager Stored Cross-Site Scriptin.
Quelle: Sicherheitsupdates: Ciscos High-Availability-Feature heißt Angreifer willkommen | heise online