YetAnotherForum
Willkommen, Gast! Suche | Aktive Themen | Einloggen | Registrieren

! Sicherheitsupdates: Angreifer könnten Cisco PCP unterwandern und übernehmen
pc-chaot
#1 Geschrieben : Dienstag, 13. März 2018 11:51:51
Rang: Administration


Gruppe: Moderator, Tester, Administrators, Registered

Mitglied seit: 23.01.2010
Beiträge: 11.613
Wohnort: zu hause
Der Netzwerkausrüster Cisco stopft in verschiedenen Produkten teils kritische Sicherheitslücken.

In Ciscos Prime Collaboration Provisioning Software (PCP) und Secure Access Control System (ACS) klaffen kritische Sicherheitslücken. In beiden Fällen sollen Angreifer bedrohte Geräte mit vergleichsweise wenig Aufwand unter ihre Kontrolle bringen können. Davor, und vor Lücken in weiteren Produkten, warnt der Netzwerkausrüster in seinem Sicherheitscenter.

Die PCP Software kommt Cisco zufolge mit einem hartkodierten Passwort daher. So könne sich ein lokaler Angreifer in das darunterliegende Linux-System via SSH einloggen und sich dort Root-Rechte aneignen. In dieser Situation gilt das System als übernommen.

Aufgrund einer mangelnden Überprüfung sollen Angreifer präparierte Java-Objekte an Ciscos ACS schicken können, um so Schadcode auszuführen. Ein Übergriff soll aus der Ferne ohne Authentifizierung stattfinden können.

Weitere Sicherheitslücken

Im FTP-Server der Web Security Appliance klafft eine mit dem Bedrohungsgrad "hoch" eingestufte Schwachstelle. Diese soll ein unangemeldeter Angreifer aus der Ferne ausnutzen können, um so auf den FTP-Server zu zugreifen.

Weitere Lücken stopft Cisco in unter anderem Identity Services Engine, IOS und StarOS. Diese Schwachstellen könnten Angreifer für DoS- oder XSS-Attacken ausnutzen.

Secure Access Control System Java Deserialization
Prime Collaboration Provisioning Hard-Coded Password
Web Security Appliance FTP Authentication Bypass
550X Series Stackable Managed Switches SNMP Denial of Service
StarOS CLI Command Injection
Identity Services Engine Authenticated Privilege Escalation StarOS CLI Command Injection
Identity Services Engine Cross-Site Request Forgery
Prime Data Center Network Manager Cross-Site Scripting
UCS Director Cross-Site Scripting
Identity Services Engine Cross-Site Scripting
Security Manager DesktopServlet Reflected Cross-Site Scripting
Identity Services Engine Cross-Site Request Forgery
Identity Services Engine Command Injection to Underlying Operating System
Registered Envelope Service Cross-Site Scripting
Videoscape AnyRes Live Cross-Site Scripting
Data Center Network Manager Cross-Site Request Forgery
Identity Services Engine Local Command Injection
Secure Access Control Server XML External Entity Injection
Secure Access Control Server XML External Entity Injection
Identity Services Engine Authenticated CLI Denial of Service

QUELLE mit Einzel-Links

Informationen über meine Test-Umgebungen <--- im Beitrag #4, auch mit den getesteten Betriebssystemen
In meinen Nachrichten-Quellen befinden sich (fast) immer weiterführende Links, Bilderstrecken und Videos!
Weitere Meldungen aus dem IT-Bereich findet Ihr unter heise.de und winfuture.de
Ist man in kleinen Dingen nicht geduldig, bringt man die großen Vorhaben zum Scheitern. (Konfuzius)


mfG --pc-chaot--
Benutzer, die gerade dieses Thema lesen
Guest (2)
Das Forum wechseln  
Du kannst keine neue Themen in diesem Forum eröffnen.
Du kannst keine Antworten zu Themen in diesem Forum erstellen.
Du darfst deine Beiträge nicht löschen.
Du darfst deine Beiträge nicht editieren.
Du kannst keine Umfragen in diesem Forum erstellen.
Du kannst nicht an Umfragen teilnehmen.

YAFPro Theme Created by Jaben Cargman (Tiny Gecko)
Powered by YAF | YAF © 2003-2009, Yet Another Forum.NET
Diese Seite wurde in 0,031 Sekunden generiert.