Menü
Alert!
Security

Cisco-Updates: Angreifer könnten als Root Firewalls und Switches übernehmen

Sicherheitsupdates schließen vor allem im Netzwerkbetriebssystem NX-OS von Cisco Schwachstellen. Aber auch Adaptive Security Appliance ist verwundbar.

vorlesen Drucken Kommentare lesen 16 Beiträge
Cisco-Updates: Angreifer könnten als Root Firewalls und Switches übernehmen

Viele Firewalls und Switches vom Netzwerkausrüster Cisco sind verwundbar. Der Großteil der nun geschlossenen Sicherheitslücken findet sich im Netzwerkbetriebssystem NX-OS. Cisco hat den Bedrohungsgrad mit "hoch" eingestuft.

Angreifbar sind beispielsweise Netzwerkgeräte der Serien Nexus 9000, MDS 9000 und USC 6400. Weitere Infos zu Angriffsszenarien, Lücken und Updates listet Cisco in seinem Sicherheitscenter auf.

Nutzen Angreifer die Schwachstellen aus, könnten sie beispielsweise durch das alleinige Senden von präparierten HTTP-Paketen an das Management-Interface Code mit Root-Rechten ausführen. Außerdem könnten manipulierte LDAP-, Service- und TCP-Pakete Netzwerkgeräte mit FXOS und NX-OS einen DoS-Zustand auslösen und Geräte so lahmlegen. Viele Attacken sollen aus der Ferne ausführbar sein.

Aufgrund einer Verwundbarkeit in der Kommandozeile in NX-OS, könnte sich ein lokaler Angreifer höhere Rechte aneignen und am Ende als Admin dastehen. Außerdem ist es möglich, dass authentifizierte lokale Angreifer Konfigurationsdateien umschreiben könnten.

Neben Geräten mit NX-OS ist auch Adaptive Security Appliance angreifbar. Hier könnte ein manipulierter HTTP-Stream die Schutzlösung via DoS-Attacke ausknipsen.

In einem Sicherheitshinweis empfiehlt Cisco Admins, die Switches der Nexus-Serie pflegen, die Funktion PowerOn Auto Provisioning (POAP) aus Sicherheitsgründen zu deaktivieren. POAP ist in NX-OS standardmäßig aktiviert. Die Funktion hilft unter anderem bei der Einrichtung und automatisiert Prozesse.

Ist POAP aktiv, sollen Angreifer im gleich Netzwerk durch das Versenden von DHCP-Anfragen Konfigurationen verändern können. Eine komplette Übernahme von Geräten soll auf diesem Weg aber nicht möglich sein.

Liste nach Bedrohungsgrad absteigend sortiert:

(des)