Der Netzwerkgigant hat 27 Patches herausgegeben, die sich auf eine breite Palette seiner Produkte auswirken, auf denen die ISO XE-Software läuft.
Cisco Systems gab am Mittwoch 24 Patches heraus, die auf Schwachstellen in seinem Betriebssystem IOS XE abzielen, und warnte Kunden, dass zwei Router für kleine Unternehmen (RV320 und RV325) angreifbar sind und für beide keine Patches verfügbar sind. Insgesamt 19 der Fehler wurden von Cisco als hochgradig, die anderen als mittel eingestuft.
Die beiden Router-Schwachstellen werden als hoch eingestuft und gehören zu Ciscos Dual-Gigabit-WAN-VPN RV320 und RV325-Reihe von Routern für kleine Unternehmen. Beide Routerfehler wurden erstmals im Januar gepatcht. Cisco sagte jedoch am Mittwoch, dass beide Patches "unvollständig" seien und dass beide Router noch immer anfällig für Angriffe seien. Er fügte in beiden Fällen hinzu, dass "Firmware-Updates, die [diese Schwachstellen] beheben, derzeit nicht verfügbar sind". Sie fügte hinzu, dass es keine Umgehungsmöglichkeiten gibt, die beide Schwachstellen beseitigen.
Eine der Schwachstellen des Routers (CVE-2019-1652) ist eine Schwachstelle bei der Befehlsinjektion "aufgrund einer unsachgemäßen Validierung der vom Benutzer gelieferten Eingaben", schrieb Cisco. Der Fehler könnte es einem authentifizierten, entfernten Angreifer mit Administratorrechten auf einem betroffenen Gerät ermöglichen, beliebige Befehle auszuführen.
Der zweite Router-Fehler (CVE-2019-1653) ist eine Schwachstelle bei der Offenlegung von Informationen, die auch die Cisco Small Business Router RV320 und RV325 betrifft. "Eine Schwachstelle in der webbasierten Verwaltungsschnittstelle der Cisco Small Business RV320 und RV325 Dual Gigabit WAN VPN Router könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, sensible Informationen abzurufen", schrieb Cisco.
Von den hochgradigen Schwachstellen waren 15 mit Ciscos Internetworking Operating System (IOS) XE verbunden, das auf Cisco-Netzwerkgeräten wie Switches, Controllern und Routern läuft. Die Fehler reichten von der Privilegieneskalation über Injektion und Denial-of-Service-Schwachstellen.
Ein Fehler (CVE-2019-1745) ist eine Cisco IOS XE Software Command Injection-Schwachstelle. Laut Cisco könnte die Schwachstelle von einem lokalen Gegner ausgenutzt werden, der beliebige Befehle in das Betriebssystem injizieren könnte, die mit erhöhten Privilegien ausgeführt werden.
"Die Schwachstelle ist auf eine unzureichende Eingabevalidierung der vom Benutzer eingegebenen Befehle zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er sich bei einem Gerät authentifiziert und den betroffenen Befehlen fertige Eingaben übermittelt. Eine Schwachstelle könnte es dem Angreifer ermöglichen, Root-Privilegien auf dem betroffenen Gerät zu erlangen", schrieb Cisco.
Die beiden Command Injection Patches (CVE-2019-1756, CVE-2019-1755) ermöglichen es einem entfernten authentifizierten Angreifer, Befehle auf Geräten auszuführen, auf denen die anfällige Cisco IOS XE-Software läuft.
"Die Schwachstelle tritt auf, weil die betroffene Software die vom Benutzer gelieferten Eingaben unsachgemäß desinfiziert. Ein Angreifer, der gültigen Administratorzugriff auf ein betroffenes Gerät hat, könnte diese Schwachstelle ausnutzen, indem er einen Benutzernamen mit einer bösartigen Nutzlast in der Web-Benutzeroberfläche angibt und anschließend eine Anfrage an einen bestimmten Endpunkt in der Web-Benutzeroberfläche stellt", sagte Cisco über CVE-2019-1756.
