Cisco schließt hochkritische Remote-Execution-Lecks

Cisco veröffentlicht Updates für mehrere schwerwiegende Sicherheitslecks. Betroffen sind die Produkte Secure Access Control System (ACS) und Cisco Prime Collaboration Provisioning (PCP).

PCP, das für die Installation von Ciscos Collaboration und TelePresence-Komponenten verwendet wird, weist einen Hard-Coded-Password-Bug auf. Darüber kann ein lokaler Angreifer sich Root-Rechte verschaffen und damit die Kontrolle über ein PCP-Gerät übernehmen.

Über das hartcodierte Passwort kann sich ein Angreifer auf das Linux-basierte Betriebssystem über SSH einloggen und anschließend die Rechte ausweiten. Daher stuft Cisco selbst das Leck als kritisch ein, obwohl es offiziell im Common Vulnerability Scoring System (CVSS) lediglich einen Wert von 5,9 von maximal 10 bekommt.

Im Advisory erklärt Cisco jedoch, dass nur PCP Release 11.6 betoffen ist, das im November 2016 veröffentlicht wurde. Welche Version verwendet wird, kann über die Settings unter dem Reiter About geprüft werden.

Der zweite kritische Fehler liegt in Secure Access Control System (ACS). Über das Leck kann ein unauthentifizierter Remote-User als Administrator beliebigen Code ausführen.

„Der Fehler entsteht durch eine unsichere Deserialisation von Inhalten, die von Nutzern geschickt werden. Ein Angreifer kann das Leck ausnutzen, indem er spezielle serialisierte Java-Objekte an die Lösung schickt“, erklärt Cisco in dem Advisory Cisco.

Sämtliche Versionen vor Cisco Secure ACS 5.8 Patch 9 sind von dem Fehler betroffen. Über das Web-Interface kann die verwendete Lösung in dem Reiter About oder über das Commandline-Interface abgefragt werden. Version 5.8 Patch 7 oder Patch 8 sind ebenfalls betroffen. Allerdings muss der Angreifer bei diesen Versionen angemeldet sein  setzen jedoch einen angemeldeten Nutzer voraus.

Das DHS US-CERT empfiehlt Administratoren, ein schwerwiegendes Problem im FTP-Server der Cisco Web Security Appliance (WSA) zu prüfen.

Wie Cisco mitteilt, kann sich ein Angreifer ohne Nutzerkennung an dem Gerät anmelden. Insgesamt veröffentlicht Cisco 22 Patches. Die restlichen Fehler sind jedoch weit weniger gefährlich.

Cisco hatte vor knapp einem Monat ein Sicherheitsupdate für die Firewall-Software Adaptive Security Applicance veröffentlicht. Es enthält einen weiteren Patch für eine als kritisch eingestufte Anfälligkeit in der VPN-Funktion. Forscher des Unternehmens hatten neue Möglichkeiten entdeckt, den Fehler auszunutzen, die durch vorherige Patches nicht beseitigt wurden.

Tipp: Wie gut kennen Sie Hightech-Firmen, die an der Börse notiert sind? Testen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.