Понедельник, 18 января, 17:03
дома безопасность Cisco: 25 серьезных дефектов в программном обеспечении IOS и IOS XE

Cisco: 25 серьезных дефектов в программном обеспечении IOS и IOS XE

Cisco предупредила клиентов, использующих программное обеспечение IOS и ISO XE, применять обновления к 25 уязвимостям с высоким уровнем безопасности (всего 34).

Большое количество дефектов, влияющих на ISO и ISO XE, связано с тем, что советы были объявлены как часть полугодовой версии широко используемого программного обеспечения Cisco для Маршрутизаторы и сетевые коммутаторы Cisco, выпущенные в апреле и сентябре.

Cisco IOS представляет собой операционную систему межсетевого взаимодействия и основана на Linux.

25 дефектов имеют высокую степень серьезности с оценкой 8,8. Уязвимость, называемая CVE-2020-3400, представляет собой уязвимость авторизации пользовательского интерфейса Cisco IOS XE, которая может позволить удаленному злоумышленнику с действительными учетными данными использовать часть пользовательского интерфейса. Это происходит из-за неадекватной авторизации запросов доступа к веб-интерфейсу и может позволить пользователю только для чтения выполнять действия с правами администратора.

"Злоумышленник может воспользоваться этим уязвимость отправка отредактированного HTTP-запроса в веб-интерфейс. Успешная эксплуатация может позволить злоумышленнику использовать разделы веб-интерфейса, к которому у него не должно быть доступа », - поясняет Cisco.

Хотя решения нет, Cisco отмечает, что отключение функции HTTP-сервера блокирует вектор атаки для этой ошибки до тех пор, пока затронутые устройства не будут обновлены.

Второй совет касается двух привилегий масштабируемости в контексте веб-управления IOS XE. Они обозначаются как CVE-2020-3141 и CVE-2020-3425 и могут позволить удаленное нарушитель с разрешениями только для чтения для увеличения разрешений на уровне администратора на уязвимом устройстве.

Cisco отмечает, что злоумышленникам не нужно использовать обе ошибки для атаки на пораженное устройство. CVE-2020-3141 возникает из-за отсутствия механизмов контроля доступа и проверки для некоторых запросов HTTP API в устройство затронуты.

"Злоумышленник может воспользоваться этой уязвимостью, отправив измененный HTTP-запрос на уязвимое устройство. «Эксплуатация может позволить злоумышленнику в качестве пользователя с доступом только для чтения выполнять команды интерфейса командной строки или изменения конфигурации, как если бы он был администратором».

CVE-2020-3425 находится в компонентах аутентификации инфраструктуры веб-управления, что может позволить злоумышленнику отправить специальный вызов API и значок привилегированной аутентификации, который дает права администратора на затронутом устройстве.

Опять же, решения нет. Однако Cisco отмечает, что «отключение функции HTTP-сервера устраняет злоумышленник от этих уязвимостей и может быть подходящим средством смягчения последствий до тех пор, пока затронутые устройства не будут обновлены».

Другие рекомендации с оценкой 8,6 включают уязвимости типа «отказ в обслуживании» (DoS), которые влияют на различные продукты, работающие под управлением IOS XE.

ОСТАВИТЬ ОТВЕТ

Пожалуйста, введите ваш комментарий!
Пожалуйста, введите ваше имя здесь

Teo Ehc
Teo Ehchttps://www.secnews.gr
Будь ограниченным тиражом.

ЖИВЫЕ НОВОСТИ

Служба охраны окружающей среды Шотландии: программы-вымогатели продолжают поражать нас

Шотландское агентство по охране окружающей среды (SEPA) подтвердило, что в прошлом месяце оно подверглось атаке вымогателей и продолжает сталкиваться с ...

В роутерах FiberHome обнаружены бэкдоры и уязвимости

В прошивке популярного маршрутизатора FiberHome FTTH ONT были обнаружены бэкдоры и многие другие уязвимости. FTTH ONT - это аббревиатура от Fiber-to-the-Home Optical Network ...

GitHub приносит свои извинения уволенному сотруднику! Что случилось;

GitHub признал, что было неправильно увольнять еврейского чиновника, который сделал «антинацистские» комментарии по поводу беспорядков в Капитолии.

К 2030 году ИИ заменит людей кибербезопасности

Компания по безопасности Trend Micro недавно провела новый опрос, который показал, что более двух пятых (41%) ИТ-руководителей считают ...

Китайский Winnti APT нацелен на организации в России и других странах!

Исследователи в области безопасности из Positive Technologies раскрыли серию атак, осуществленных китайской командой хакеров APT, нацеленной на организации в России ...

Кремниевая долина вкладывает огромные деньги в Индию

С марта по ноябрь, даже когда COVID-19 разрушил экономики по всему миру, самый богатый человек в Индии ...
00: 02: 01

Microsoft, Salesforce и Oracle разрабатывают цифровой паспорт вакцинации

Цифровой паспорт вакцинации Covid разрабатывается совместно группой медицинских и технологических компаний, а также правительствами, авиакомпаниями и ...

Google удаляет Chrome Sync из сторонних браузеров

Google заявляет, что заблокирует использование частных API Google сторонними веб-браузерами Chromium после обнаружения этого ...

Произошла утечка медицинских карт железнодорожников и водителей

UPS и Norfolk Southern изучают, не были ли скомпрометированы медицинские карты сотрудников после публикации данных о состоянии здоровья водителей грузовиков и сотрудников ...

Siemens: уязвимости продукта допускают выполнение произвольного кода!

На прошлой неделе компания Siemens проинформировала своих клиентов, что некоторые из ее решений для разработки продуктов подвержены двенадцати уязвимостям, ...