Haavoittuvuuksia Ciscon tuotteissa

Useista Ciscon tuotteista on korjattu haavoittuvuuksia, jotka vakavimmillaan voivat mahdollistaa komentojen mielivaltaisen suorittamisen. Julkaistut päivitykset korjaavat yhteensä 11 haavoittuvuutta. Yksi julkaistuista haavoittuvuuksista on korjattu vain osassa laitteista, mutta kyseiseen haavoittuvuuteen on tarjolla myös ohje hyväksikäytön rajoittamiseksi. Haavoittuvuuksista yksi on luokiteltu vakavuudeltaan kriittiseksi, kaksi korkeaksi ja loput keskimääräisiksi.

Cisco ASA -palomuureista on korjattu vakavia haavoittuvuuksia, jotka voivat mahdollistaa komentojen mielivaltaisen suorittamisen. Kaikki Ciscon ASA -laitteet voivat olla haavoittuvia, jos hyökkääjällä on pääsy laitteeseen SNMP-protokollalla ja hyökkääjä tietää käytetyn community name -tunnisteen. Cisco on julkaissut osaan ASA-laitteista korjaavan päivityksen 24.8. Katso tarkemmat tiedot Ciscon julkaisemasta haavoittuvuustiedotteesta. Haavoittuvuuden hyväksikäytön mahdollisuutta voi rajoittaa Ciscon ohjeilla.

Vanhoista Cisco ASA -versioista (8.4. tai vanhemmat) löydetty haavoittuvuus mahdollistaa laitteen palvelunestotilaan joutumisen tai komentojen mielivaltaisen suorittamisen. Korjattuihin haavoittuvuuksiin on julkaistu hyväksikäyttömenetelmä ja se on julkisesti saatavilla. Lisätietoja haavoittuvuuksista löytyy Ciscon julkaisemasta blogista. Vastaavat haavoittuvuudet löytyvät myös vanhoista Cisco PIX-laitteista, joiden elinkaari on loppunut 2012 ja näihin ei ole saatavissa päivityksiä.

Cisco Firepower Management Center sekä Cisco ASA 5500-X sarjan tuotteista, joissa on FirePOWER-palvelu käytössä, on korjattu kriittinen haavoittuvuus. Korjattu haavoittuvuus voi mahdollistaa tunnistumattoman käyttäjän suorittaa mielivaltaisia komentoja laitteessa. Haavoittuvuus johtuu puutteellisesta käyttövaltuuksien tarkistuksesta, jonka johdosta hyökkääjä voi lähettää tietyllä tavoin muotoiltuja HTTP-paketteja ja saada haluamiaan komentoja suoritettavaksi. Lisäksi tuotteista on korjattu käyttövaltuuksien laajentamisen mahdollistava haavoittuvuus.

Cisco APIC-EM -tuotteista on korjattu vakava haavoittuvuus, joka voi mahdollistaa tunnistumattoman käyttäjän suorittaa mielivaltaisia komentoja laitteessa pääkäyttäjän oikeuksin. Haavoittuvuus johtuu laitteen tavasta käsitellä päivitysprosessissa sille välitettyjä tietoja.

Cisco Aironet-tuotteista on korjattu useita haavoittuvuuksia, jotka voivat mahdollistaa palvelunestotilan aiheuttamisen tai käyttövaltuuksien laajentamisen.

Cisco WebEX Meeting Server -tuotteesta on korjattu haavoittuvuus, joka voi mahdollistaa luottamuksellisen tiedon paljastumisen.

Cisco UDS-tuotteen API-rajapinnasta on korjattu haavoittuvuus, joka voi mahdollistaa luottamuksellisen tiedon paljastumisen.

Cisco Smart Call Home Transport Gateway ja Cisco ISE -tuotteista on korjattu XSS-haavoittuvuus.

Cisco IP Phone -tuotteista on korjattu palvelunestotilan aiheuttamisen mahdollistava haavoittuvuus.

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
  • Verkon aktiivilaitteet
  • Matkaviestinjärjestelmät
  • Sulautetut järjestelmät
  • Muut

Kohde

  • Verkon aktiivilaitteet
Lisätietoa +

Hyökkäystapa

  • Paikallisesti
  • Ilman kirjautumista
  • Etäkäyttö
  • Ilman käyttäjän toimia
Lisätietoja hyökkäystavasta +

Hyväksikäyttö

  • Komentojen mielivaltainen suorittaminen
  • Käyttövaltuuksien laajentaminen
  • Tietojen muokkaaminen
  • Luottamuksellisen tiedon hankkiminen
  • Palvelunestohyökkäys
  • Suojauksen ohittaminen
Lisätietoja hyväksikäytöstä +

Ratkaisu

  • Korjaava ohjelmistopäivitys
  • Ongelman rajoittaminen
Lisätietoja ratkaisusta +

Haavoittuvat ohjelmistot:

  • Katso tarkemmat tiedot haavoittuvista versioista valmistajan tiedotteista.

Ratkaisu- ja rajoitusmahdollisuudet:

  • Päivitä ohjelmistot valmistajan ohjeiden mukaisesti niiden viimeisiin versioihin.

Lisätietoa:

Päivityshistoria

Asiasanat: Tietoturva , Haavoittuvuudet

LinkedIn Print

Yhteystiedot

logo

Viestintävirasto

Kyberturvallisuuskeskus

PL 313, 00181 Helsinki


Mediayhteydenotot puhelimitse 0295 390 248