Cisco weist auf kritische Sicherheitslücken in SD-WAN-Software hin

Das Unternehmen warnt auch vor schwerwiegenden Schwachstellen in der Management-Software DNA Center. [...]

Cisco hat zwei kritische und eine Reihe von hochgradigen Sicherheitslücken in seinem SD-WAN-Software-Portfolio festgestellt und behoben.

Die meisten der Schwachstellen könnten es einem authentifizierten Angreifer ermöglichen, Command-Injection-Angriffe gegen ein betroffenes Gerät auszuführen, wodurch der Angreifer Root-Rechte auf dem Gerät nutzen könnte.

Das erste kritische Problem – mit einer Bewertung des Common Vulnerability Scoring System von 9,9 von 10 – ist eine Schwachstelle in der webbasierten Verwaltungsoberfläche der Cisco SD-WAN vManage Software.

„Diese Schwachstelle ist auf eine unsachgemäße Eingabevalidierung von Benutzereingaben für die Konfiguration der Gerätevorlage zurückzuführen“, so Cisco. „Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er manipulierte Eingaben in die Gerätevorlagenkonfiguration einreicht. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, Root-Zugriff auf das betroffene System zu erlangen.“

Diese Schwachstelle betrifft nur das Produkt Cisco SD-WAN vManage, teilte das Unternehmen mit.

Die zweite kritische Schwachstelle in der Cisco SD-WAN Software – mit einem CVSS-Rating von 9.8 – könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, einen Pufferüberlauf zu verursachen.

„Die Schwachstelle ist auf eine fehlerhafte Behandlung des IP-Verkehrs zurückzuführen“, so Cisco. „Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er manipulierten IP-Verkehr über ein betroffenes Gerät sendet, was zu einem Pufferüberlauf führen kann, wenn der Verkehr verarbeitet wird. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, beliebigen Code auf dem zugrunde liegenden Betriebssystem mit Root-Rechten auszuführen.“

Cisco hat Software-Updates veröffentlicht, die beide kritischen Schwachstellen beheben. Weitere Schwachstellen in der Befehlszeilenschnittstelle der Cisco SD-WAN Software werden als hoch eingestuft und umfassen:

• Eine Schwachstelle in der Befehlszeilenschnittstelle (CLI) der Cisco SD-WAN Software, die es einem authentifizierten, lokalen Angreifer mit Nur-Lese-Zugangsdaten ermöglichen könnte, beliebige Befehle zu injizieren, die es dem Angreifer erlauben könnten, Root-Rechte zu erlangen und Dateien des zugrunde liegenden Dateisystems eines betroffenen Geräts zu lesen, zu schreiben und zu löschen. Diese Schwachstelle ist auf eine unzureichende Validierung der vom Benutzer bereitgestellten Eingaben in der CLI zurückzuführen, so Cisco. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er sich über die Befehlszeilenschnittstelle (CLI) eines betroffenen Geräts mit Nur-Lese-Rechten authentifiziert und manipulierte Eingaben in die betroffenen Befehle einreicht, so Cisco.
• Eine Schwachstelle in der Befehlszeilenschnittstelle der Cisco SD-WAN Software könnte es einem authentifizierten, lokalen Angreifer mit Nur-Lese-Zugangsdaten ermöglichen, beliebige Befehle zu injizieren, mit denen der Angreifer Root-Rechte erlangen und Dateien des zugrunde liegenden Dateisystems eines betroffenen Geräts lesen, schreiben und löschen könnte. „Diese Sicherheitsanfälligkeit ist auf eine unzureichende Validierung der vom Benutzer bereitgestellten Eingaben in der Befehlszeile zurückzuführen. Ein Angreifer könnte diese Sicherheitsanfälligkeit ausnutzen, indem er sich mit Nur-Lese-Rechten über die Befehlszeilenschnittstelle eines betroffenen Geräts authentifiziert und manipulierte Eingaben in die betroffenen Befehle einspeist. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, beliebige Befehle auf dem Gerät mit Root-Rechten auszuführen“, so Cisco.
• Eine weitere CLI-Schwachstelle, die es einem authentifizierten, lokalen Angreifer mit Nur-Lese-Zugangsdaten ermöglichen könnte, beliebige Befehle zu injizieren, mit denen der Angreifer Root-Rechte erlangen und Dateien aus dem zugrunde liegenden Dateisystem eines betroffenen Geräts lesen könnte. Diese Sicherheitsanfälligkeit ist auf eine unzureichende Validierung der vom Benutzer bereitgestellten Eingaben in der SD-WAN-CLI zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er sich mit Nur-Lese-Rechten über die CLI eines betroffenen Geräts authentifiziert und manipulierte Eingaben in die betroffenen Befehle einspeist, so Cisco.

Im gleichen Paket von Sicherheitshinweisen veröffentlichte Cisco einen kritischen Patch für seine DNA Center-Software. Das Unternehmen teilte mit, dass eine Schwachstelle – mit einem CVSS-Rating von 9.6 – im Command Runner-Tool von Cisco DNA Center es einem authentifizierten, entfernten Angreifer ermöglichen könnte, einen Command-Injection-Angriff durchzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine manipulierte Eingabe während der Befehlsausführung oder über einen manipulierten Command-Runner-API-Aufruf bereitstellt. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, beliebige CLI-Befehle auf von Cisco DNA Center verwalteten Geräten auszuführen. Diese Sicherheitslücke betrifft Cisco DNA Center Software-Releases vor 1.3.1.0, so Cisco.

Weitere DNA Center-bezogene Sicherheitshinweise sind:

• Eine Schwachstelle in der Konfigurationsarchivfunktionalität von Cisco DNA Center könnte es jedem privilegierten, authentifizierten Remote-Angreifer ermöglichen, die vollständige unmaskierte laufende Konfiguration von verwalteten Geräten zu erhalten. Diese Schwachstelle betrifft Cisco DNA Center Software-Versionen vor 2.1.2.0.
• Eine Schwachstelle in der webbasierten Verwaltungsschnittstelle der DNA Center Software, die es einem nicht authentifizierten, entfernten Angreifer ermöglichen könnte, einen Cross-Site-Request-Forgery (CSRF)-Angriff durchzuführen, um einen authentifizierten Benutzer zu manipulieren, damit er bösartige Aktionen ohne sein Wissen oder seine Zustimmung ausführt.

Cisco hat Software-Fixes für alle genannten Sicherheitslücken veröffentlicht. Für weitere Informationen verweist Cisco auf seine Lizenzseite hier.

*Michael Cooney ist Senior Editor bei Network World und schreibt seit mehr als 25 Jahren über die IT-Welt.