Netzwerk-Admins mit Cisco-Geräten sollten die Software auf den aktuellen Stand bringen. Andernfalls könnten Angreifer die volle Kontrolle über Geräte erlangen und in Netzwerke schlüpfen.
Die gefährlichste Sicherheitslücke (CVE-2020-3446) ist als "kritisch" eingestuft und betrifft Cisco Virtual Wide Area Application Services (vWAAS) mit Cisco Enterprise NFV Infrastructure Software (NFVIS), die auf den Appliances CSP 5000-W und ENCS 5400-W zum Einsatz kommen.
Das Problem ist (wieder mal) ein Account mit einem statischen Passwort. Ein Angreifer mit Zugriff auf das NFVIS CLI kann sich so mit Admin-Rechten einloggen. Ein Sicherheitsupdate löst das Problem.
Die Schwachstellen (CVE-2020-3443, CVE-2020-3506) in Smart Software Manager On-Prem und Video Surveillance 8000 Series IP Cameras sind mit dem Bedrohungsgrad "hoch" eingestuft. Hier könnte ein Angreifer unter bestimmten Umständen Schadcode ausführen.
Noch mehr Patches
Die weiteren Lücken betreffen unter anderem Connected Mobile Experiences, Data Center Network Manager und Webex Meetings Desktop App für Windows. Alle Schwachstellen sind mit "mittel" eingestuft. Sind Attacken erfolgreich, könnten Angreifer beispielsweise Anmeldeverfahren umgehen und unrechtmäßig auf Daten zugreifen.
Admins sollten die folgenden Einträge in Ciscos Sicherheitscenter genau studieren. Kommen betroffene Geräte und Software zum Einsatz, sollten sie die Sicherheitsupdates zügig installieren.
Liste nach Bedrohungsgrad absteigend sortiert:
- vWAAS for Cisco ENCS 5400-W Series and CSP 5000-W Series Default Credentials
- Smart Software Manager On-Prem Privilege Escalation
- Video Surveillance 8000 Series IP Cameras Cisco Discovery Protocol Remote Code Execution and Denial of Service
- Connected Mobile Experiences Privilege Escalation
- Data Center Network Manager Cross-Site Scripting
- Data Center Network Manager Cross-Site Scripting
- Webex Meetings Desktop App for Windows Arbitrary File
- Video Surveillance 8000 Series IP Cameras Cisco Discovery Protocol Memory Leak
- Data Center Network Manager Authorization Bypass
- Data Center Network Manager Authorization Bypass
- Data Center Network Manager Authorization Bypass
- Vision Dynamic Signage Director Role-Based Access Control
- Data Center Network Manager Stored Cross-Site Scripting
- Data Center Network Manager Information Disclosure
- Vision Dynamic Signage Director Stored Cross-Site Scripting
- Data Center Network Manager Path Traversal
- Vision Dynamic Signage Director Directory Traversal Information Disclosure
- Data Center Network Manager Read File Path Traversal
- Small Business Smart and Managed Switches Denial of Service
- Connected Mobile Experiences Restricted Shell Escape
- Vision Dynamic Signage Director Path Traversal
- DNA Center Cross-Site Scripting
- Data Center Network Manager Path Traversal
- Hyperflex HX-Series Software Weak Storage