Sicherheitspatches: Angreifer können Ciscos ASR 900 und Prime Home kapern
Cisco schließt zehn Lücken in verschiedenen Produkten. Zwei Schwachstellen gelten als besonders bedrohlich.
In einigen Versionen von Ciscos IOS XE Software der ASR-900-Serie und in Prime Home klaffen Sicherheitslücken. Cisco vergibt für diese Schwachstellen den höchstmöglichen CVSS Score mit 10 von 10 Punkten und stuft den Bedrohungsgrad der Lücken als besonders kritisch ein. Im schlimmsten Fall könnten Angreifer Geräte komplett übernehmen. Sicherheitsupdates sind verfügbar.
Die Betroffenen Versionen der ASR-900-Serie listet Cisco in einer Sicherheitswarnung auf. Dort verweisen sie auch auf abgesicherte Version von IOS XE und stellen als Alternative zu einem Update einen Workaround vor. Das Schlupfloch ist auf eine unzureichende Überprüfung von eingegebenen Daten zurückzuführen. So sollen Angreifer über das Senden einer manipulierten Anfrage an den TL1-Port in Systeme einsteigen können.
Aufgrund einer Schwachstelle im Nutzer-Interface von Prime Home kann ein Angreifer mittels einer präparierten HTTP-Anfrage Admin-Sessions übernehmen. Um die Lücke zu schließen, müssen Admins eine abgesicherte Version einspielen. Systeme ab Version 6.0 sollen nicht bedroht sein, versichert Cisco.
Hoch bis mittelschwer
Zwei Lücken im Meeting Server stuft Cisco mit dem Bedrohungsgrad hoch ein. Auch hier können sich Anfragen von Angreifern durchschummeln. Das kann zu Speicherfehlern und letztlich Remote Code Execution führen.
Weitere sechs Schwachstellen in verschiedenen Produkten, etwa Email Security Appliance und ASR 5500, schätzt Cisco als mittelschwer ein. Nutzt ein Angreifer diese aus, kann er zum Beispiel E-Mail-Filter umgehen und Systeme per DoS-Angriff lahmlegen. Auch für diese Lücken stellt Cisco Sicherheitsupdates bereit.
- Cisco Meeting Server Session Description Protocol Media Lines Buffer Overflow Vulnerability
- Cisco Meeting Server and Meeting App Buffer Underflow Vulnerability
- Vulnerability in Linux Kernel Affecting Cisco Products: October 2016
- Cisco Application Policy Infrastructure Controller Denial of Service Vulnerability
- Cisco Email Security Appliance RAR File Attachment Scanner Bypass Vulnerability
- Cisco ASR 5500 Series with DPC2 Cards SESSMGR Denial of Service Vulnerability
- Cisco Email and Web Security Appliance JAR Advanced Malware Protection DoS Vulnerability
- Cisco TelePresence Endpoints Local Command Injection Vulnerability
(des)
