Ein schwerwiegender Fehler könnte Angreifern die volle Kontrolle über Cisco-Router oder Switches geben.
Cisco hat eine hochgradige Schwachstelle in seiner Software für Router und Switches gepatcht, die es einem entfernten Angreifer ermöglichen könnte, die betroffenen Geräte neu zu konfigurieren oder Befehle auf diesen Geräten auszuführen.
IOS XE, eine Linux-basierte Version von Cisco's Internetworking Operating System (IOS), ist eine Software für Cisco-Router und Switches. Zu den von IOS XE unterstützten Produkten gehören Enterprise-Switches (einschließlich der Catalyst-Serie von Cisco), Zweigstellenrouter und Edge-Router einschließlich ASR 1013.
Die hochgradige Schwachstelle ermöglicht die Fälschung standortübergreifender Anfragen, ein Angriff, der einen Endbenutzer dazu zwingt, sobald er auf einen bösartigen Link klickt, unerwünschte Aktionen auf einer Webanwendung auszuführen, in der er gerade authentifiziert ist.
"Eine Schwachstelle in der webbasierten Benutzeroberfläche (Web UI) der Cisco IOS XE Software könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, einen Cross-Site Request Forgery (CSRF)-Angriff auf ein betroffenes System durchzuführen", so Cisco's Wednesday Advisory.
Die Schwachstelle (CVE-2019-1904) rangiert auf der CVSS-Skala auf Platz 8,8 von 10. Er ist auf unzureichenden CSRF-Schutz für die Web-UI auf betroffenen Geräten zurückzuführen, sagte Cisco.
Ein Angreifer könnte die Schwachstelle ausnutzen, indem er einen Benutzer der Web-Schnittstelle dazu bringt, einem bösartigen Link zu folgen. Da die Web-Benutzeroberfläche nicht vor CSRF geschützt ist, könnte der Angreifer dann beliebige Aktionen mit der Berechtigungsstufe des betroffenen Benutzers durchführen.
"Wenn der Benutzer über Administratorrechte verfügt, könnte der Angreifer die Konfiguration ändern, Befehle ausführen oder ein betroffenes Gerät neu laden", so Cisco.
Die Schwachstelle betrifft Cisco-Geräte, auf denen eine anfällige Version der Cisco IOS XE Software mit aktivierter HTTP-Server-Funktion läuft (Der Standardstatus der HTTP-Server-Funktion ist laut Cisco versionsabhängig). Cisco bietet auch ein Online-Tool an, mit dem Benutzer überprüfen können, ob ihre Cisco IOS-Software anfällig ist.
Die Schwachstelle betrifft weder Cisco IOS Software, Cisco IOS XR Software noch Cisco NX-OS Software, so Cisco.
Die Schwachstelle tritt eine Woche nach der Bekanntgabe eines hochgradigen Fehlers auf, der es entfernten Angreifern ermöglicht, Ciscos Enterprise-Class Industrial Network Director zu kapern. Die Schwachstelle wurde letzten Mittwoch zusammen mit einem Patch veröffentlicht; es gibt keine Abhilfe für den Fehler und ein Software-Patch ist erforderlich, sagte Cisco.
