Cisco исправляет критическую ошибку в виртуальном сервисном контейнере для IOS XE

Ионут Илашку
  • 28 августа 2019 г.
  • 8:01 вечера
  • 0

Cisco сегодня опубликовала обновление для своей операционной системы IOS XE, чтобы исправить критическую уязвимость, которая может позволить удаленному злоумышленнику обойти аутентификацию на устройствах, работающих под управлением устаревшей версии контейнеров виртуальных служб.

Контейнеры виртуальных сервисов используются для запуска процессов в изолированной среде. Они поставляются в виде пакета открытого виртуального приложения (OVA) и могут запускать приложения, предназначенные для различных целей.

Администраторы могут оснастить машину инструментами для устранения неполадок и для выполнения общих сетевых функций, а также для анализа и мониторинга. Обычно используется для расширения возможностей сети хоста.

Максимальная оценка серьезности

Проблема безопасности отслеживается как CVE-2019-12643. Он получил максимальный уровень серьезности 10 и находится в контейнере виртуального сервиса API REST для ОС Cisco.

Следующие продукты подвержены этой уязвимости:

  • Маршрутизаторы с интегрированными сервисами Cisco серии 4000
  • Маршрутизаторы услуг агрегации Cisco ASR серии 1000
  • Маршрутизатор Cisco для облачных сервисов, серия 1000 В
  • Виртуальный маршрутизатор Cisco с интегрированными услугами

Эксплуатация возможна, если конкретные условия выполняются путем простой отправки вредоносных HTTP-запросов на целевое устройство. Если администратор подключен к интерфейсу API REST, злоумышленник может получить свой «идентификатор токена» и запускать команды с повышенными привилегиями.

Cisco исправляет критическую ошибку в виртуальном сервисном контейнере для IOS XE

Помимо аутентификации администратора, целевое устройство также должно включить уязвимую версию контейнера виртуального сервиса API REST Cisco.

Сетевые администраторы должны установить версию 16.09.03 контейнера виртуального устройства API REST («iosxe-remote-mgmt.16.09.03.ova»), который исправляет ошибку обхода аутентификации. Для дальнейшей защиты клиентов Cisco выпустила усиленную версию программного обеспечения IOS XE, которая не позволяет устанавливать или активировать уязвимое контейнерное устройство.

«Если устройство уже было настроено с активным уязвимым контейнером, обновление программного обеспечения IOS XE деактивирует контейнер, делая устройство не уязвимым. В этом случае, чтобы восстановить функциональность REST API, клиенты должны обновить контейнер виртуальной службы API REST Cisco к фиксированному выпуску программного обеспечения. " Cisco

Обходных путей нет, говорится в сообщении компании по безопасности для этой ошибки. Группа реагирования на инциденты безопасности продуктов Cisco (PSIRT) не знает об этой уязвимости.

Ошибки высокой и средней серьезности

Ошибки высокой и средней серьезности

Помимо этой рекомендации, компания опубликовала анонсы безопасности для девяти других проблем высокой и средней серьезности, затрагивающих межкомпонентные соединения Unified Computing System (UCS), FXOS, NX-OS и коммутаторы серии Nexus 9000.

Четыре проблемы высокой степени серьезности были обнаружены в программном обеспечении NX-OS. Два позволяют удаленному злоумышленнику, не прошедшему проверку подлинности, вызвать сбой устройства (CVE-2019-1962) или вызвать неожиданный перезапуск процесса netstack (CVE-2019-19624).

Два других позволили вошедшему в систему злоумышленнику перезапустить приложение SNMP (CVE-2019-1963) или исчерпать системную память, предотвращая удаление процесса виртуальной оболочки (VSH) при прекращении удаленного соединения (CVE-2019-1965) ,

Проблема высокой степени серьезности в Cisco Interconnect отслеживается как CVE-2019-1966 и приводит к повышению локальных привилегий до уровня корневых разрешений. Злоумышленник может использовать «посторонние опции подкоманд, представленные для конкретной команды CLI в контексте local-mgmt».

Все уязвимости, описанные в сегодняшнем бюллетене, были обнаружены внутри компании Cisco во время тестирования безопасности или обнаружены при решении случаев поддержки клиентов.

, , ,