H Cisco ανακοίνωσε αυτήν την εβδομάδα ενημερώσεις λογισμικού IOS και IOS XE που αντιμετωπίζουν 12 ευπάθειες, συμπεριλαμβανομένων 10 ελαττωμάτων ασφαλείας υψηλής σοβαρότητας.
Τα σφάλματα επιλύθηκαν ως μέρος των εξαμηνιαίων ενημερώσεων κώδικα για το λογισμικό δικτύωσης, το οποίο κυκλοφορεί τον Μάρτιο και τον Σεπτέμβριο.
Με βαθμολογία CVSS 8,6, τα πιο σοβαρά από τα ζητήματα που αντιμετωπίστηκαν πρόσφατα είναι έξι ευπάθειες που θα μπορούσαν να οδηγήσουν σε συνθήκες άρνησης υπηρεσίας (DoS).
Τα ζητήματα υπάρχουν λόγω ακατάλληλης επεξεργασίας ή ανεπαρκούς επικύρωσης εισόδου ορισμένων πακέτων, ακατάλληλης διαχείρισης πόρων και λογικών σφαλμάτων.
Ένας εισβολέας θα μπορούσε να εκμεταλλευτεί αυτά τα τρωτά σημεία στέλνοντας πακέτα CIP με κακή μορφή, δημιουργημένα πακέτα DNS, ένα πακέτο με λανθασμένη μορφή από μια επηρεασμένη διεπαφή με δυνατότητα MPLS, κακόβουλα γραφήματα δεδομένων UDP, δημιουργημένα πακέτα φορητότητας CAPWAP ή κακόβουλα μηνύματα DHCP.
Σύμφωνα με τη Cisco, αυτές οι ευπάθειες επηρεάζουν πολλές σειρές προϊόντων, συμπεριλαμβανομένων των σημείων πρόσβασης Catalyst 9100 (APs), των ασύρματων ελεγκτών Catalyst 9800, των μεταγωγέων Catalyst 3650, Catalyst 3850 και Catalyst 9000, των ενσωματωμένων επεξεργαστών υπηρεσιών ASR 1000 85000 και της πλατφόρμας Catalyst.
Από τα υπόλοιπα τέσσερα τρωτά σημεία υψηλής σοβαρότητας, δύο θα μπορούσαν να επιτρέψουν σε έναν εισβολέα να προκαλέσει μια συνθήκη DoS στέλνοντας δημιουργημένα αιτήματα SSH ή πακέτα IPv6.
Ενώ το πρώτο επηρεάζει την υλοποίηση SSH του IOS και του IOS XE, το δεύτερο επηρεάζει την υλοποίηση του IPv6 VPN μέσω MPLS (6VPE) όταν το IOS XE έχει ενεργοποιημένο τόσο το 6VPE όσο και το Τείχος προστασίας βάσει ζώνης (ZBFW).
Τα δύο εναπομείναντα ζητήματα θα μπορούσαν να οδηγήσουν σε αυθαίρετη εκτέλεση κώδικα κατά την εκκίνηση, χωρίς έλεγχο ταυτότητας, ή να κλιμακώσουν τα δικαιώματα και να εκτελέσουν εντολές στο υποκείμενο λειτουργικό σύστημα ως root.
Αυτή την εβδομάδα, η Cisco ανακοίνωσε επίσης ενημερώσεις κώδικα για πολλά άλλα σφάλματα ασφαλείας υψηλής σοβαρότητας, συμπεριλαμβανομένων δύο ελαττωμάτων κλιμάκωσης προνομίων στο SD-WAN και δύο ζητημάτων DoS στο λογισμικό AireOS του Ελεγκτή ασύρματου LAN (WLC) και στα AP του Catalyst 9100.
Η Cisco έχει κυκλοφορήσει ενημερώσεις λογισμικού που αντιμετωπίζουν αυτά τα τρωτά σημεία. Ο τεχνολογικός γίγαντας λέει ότι δεν γνωρίζει ότι κάποιο από αυτά τα τρωτά σημεία γίνεται αντικείμενο εκμετάλλευσης σε επιθέσεις.
Επιλύθηκαν επίσης συνολικά οκτώ ελαττώματα μέσης σοβαρότητας που επηρεάζουν το IOS και άλλα προϊόντα της Cisco. Πρόσθετες πληροφορίες για τις ενημερώσεις κώδικα που κυκλοφόρησαν μπορείτε να βρείτε στην πύλη ασφαλείας.
