Cisco bereitet Patch für Meldtdown und Spectre vor

Cisco reiht sich in die Zahl der Hersteller ein, die Patches für die beiden Verwundbarkeiten Spectre und Meltdown veröffentlichen. In PCs und Servern sowie anderen Endpunkten sorgen diese „CPU Side-Channel Information Disclosure Vulnerabilities“ für schwere Sicherheitslecks, die sich aber offenbar über ein Software-Update schließen lassen.

Cisco UCS B-Series bieten für Spectre und Meltdown einen Angriffsvektor (Bild: Cisco).

In dem Advisory jedoch erklärt Cisco, dass ein Angreifer bereits Zugriff auf das betroffene System haben muss, um diese Lecks ausnutzen zu können. Auch müsse ein Angreifer in der Lage sein, eigenen Code auf dem Gerät auszuführen. Inzwischen haben Microsoft, und andere Hersteller Patches bereitgestellt oder sind gerade dabei diese vorzubereiten. Nun zieht auch Cisco nach.

„Die meisten Cisco-Produkte sind geschlossene Systeme, die es nicht erlauben, eigenen Code auf dem Gerät auszuführen“, so der Hersteller in einem Advisory. Damit ist eigentlich klar, dass die Mehrzahl der Cisco-Produkte sich nicht über die Lecks angreifen lassen.

Allerdings gibt es auch einige Geräte im Programm, deren Kombination aus CPU und Betriebssystem dennoch einen Angriffsvektor bieten. Davon seien Cisco-Geräte betroffen, die es erlauben, eigene Programme zusammen mit dem Cisco-Geräte-Code auf dem gleichen Gerät und auf dem gleichen Mikroprozessor auszuführen.

Auch könnten Cisco-Produkte verwundbar sein, die als virtuelle Maschine oder als Container installiert sind. Auch wenn diese nicht direkt von CVE-2017-5753, CVE-2017-5715 (Spectre) und CVE-2017-5754 (Meltdown) betroffen sind, lassen sich diese angreifen, sofern die Hosting-Umgebung ein Leck aufweist. Daher werde Cisco Software-Updates veröffentlichen, die diese Schwachstellen beseitigen. „Cisco empfiehlt Kunden die virtuellen Umgebungen zu härten und sicher zu stellen, dass alle Sicherheits-Updates installiert sind.“

Zu den betroffenen Systemen zählt Cisco unter anderem die Cisco Cloud Services Platform 2100, verschiedene Routing- und Switching-Produkte wie etwa die Cisco 800 Industrial Integrated Services Routers, Cisco ASR 1000, NCS 1000 und 5000 und verschiedene Nexus Switche. Betroffen sind auch die Unified Computing Systems der B- und C-Serie und hier sowohl Blade-, wie auch Rack-Server.

Cisco stuft das Risiko, das von den genannten Lecks ausgeht, mit „Medium“ ein. Wann mit den Updates zu rechnen ist, präzisiert der Hersteller nicht.