Deutsch | English

Kritische Sicherheitslücke in Cisco NX-OS Software auf Nexus 3000/3500 Switches - Patches verfügbar

3. März 2016

Beschreibung

Cisco hat ein Advisory zu einer kritischen Sicherheitslücke in Cisco NX-OS Software für "Nexus"-Geräte der 3000 und 3500 Serien veröffentlicht.

Details

Die Lücke betrifft einen bei der Installation angelegten Account mit fixem Passwort, durch den Angreifer root-Access auf shell-Ebene bekommen können. Dieser Account lässt sich in betroffenen Software-Releases auch nicht ändern/löschen, ohne die Funktionalität des Geräts zu beeinträchtigen.

CVE-Nummer: CVE-2016-1329
CVSS2-Score (laut Cisco): 10.0

Auswirkungen

Durch Ausnützen dieser Lücke kann ein Angreifer laut Cisco die Kontrolle über betroffene Systeme übernehmen.
Damit sind alle Daten auf diesen Systemen, sowie alle durch diese erreichbaren (etwa durch Login, VPN etc.) Daten und Systeme gefährdet. Auch ein Ausspähen des Verkehrs, der durch diese Geräte geleitet wird, ist damit möglich.

Da die Lücke nun bekannt ist, ist damit zu rechnen, dass bald versucht werden wird diese auszunützen.

Betroffene Systeme

Folgende Cisco Nexus-Systeme sind von der Lücke betroffen:
  • Cisco Nexus 3000 Series Switches mit Cisco NX-OS Software releases 6.0(2)U6(1), 6.0(2)U6(2), 6.0(2)U6(3), 6.0(2)U6(4), und 6.0(2)U6(5)
  • Cisco Nexus 3500 Platform Switches mit Cisco NX-OS Software releases 6.0(2)A6(1), 6.0(2)A6(2), 6.0(2)A6(3), 6.0(2)A6(4), 6.0(2)A6(5), und 6.0(2)A7(1)
Nicht betroffen sind laut Cisco Systeme mit anderen Software-Releases sowie Geräte die nicht aus der "Nexus"-Serie sind.

Ob ein Nexus 3000/3500 Gerät verwundbare Software-Releases einsetzt, lässt sich mit folgendem Befehl herausfinden: show version.

Abhilfe

Einspielen der von Cisco zur Verfügung gestellten Updates.

Hinweis

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen, parallel Firewall-Software aktiv und den Virenschutz aktuell zu halten.
Informationsquelle(n):

Cisco Security Advisory (englisch)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160302-n3k
Letzte Änderung: 2016/3/3 - 11:56:09
Haftungsausschluss