Mobiln├ę Spr├ívy, Gadgety, Blogy's Secenziami

Cisco vyd├íva bezpe─Źnostn├ę z├íplaty pre kritick├ę chyby ovplyv┼łuj├║ce jej produkty

Cisco vyd├íva bezpe─Źnostn├ę z├íplaty pre kritick├ę chyby ovplyv┼łuj├║ce jej produkty 1

Cisco sa zaoberalo zranite─żnos┼ąou s maxim├ílnou z├íva┼żnos┼ąou vo svojom Multi-Site Orchestrator (MSO) Application Centric Infrastructure (ACI), ktor├Ż by mohol umo┼żni┼ą neoveren├ęmu vzdialen├ęmu ├║to─Źn├şkovi ob├şs┼ą autentifik├íciu na zranite─żn├Żch zariadeniach.

ÔÇ×├Üto─Źn├şk by mohol zneu┼żi┼ą t├║to zranite─żnos┼ą odoslan├şm vytvorenej po┼żiadavky na postihnut├ę API,ÔÇť uviedla spolo─Źnos┼ą vo v─Źera zverejnenom upozornen├ş. “├Üspe┼ín├ę zneu┼żitie by mohlo ├║to─Źn├şkovi umo┼żni┼ą z├şska┼ą token s opr├ívneniami na ├║rovni spr├ívcu, ktor├Ż by sa dal pou┼żi┼ą na autentifik├íciu do API na postihnut├Żch MSO a spravovan├Żch zariadeniach Cisco Application Policy Infrastructure Controller (APIC).”

Chyba, sledovan├í ako CVE-2021-1388, m├í 10. miesto (z 10) v syst├ęme hodnotenia zranite─żnosti CVSS a pramen├ş z nespr├ívnej valid├ície tokenu v koncovom bode API Cisco ACI MSO nain┼ítalovan├ęho Application Services Engine. Ovplyv┼łuje verzie ACI MSO spusten├ę a 3.0 vydanie softv├ęru.

ACI Multi-Site Orchestrator umo┼ż┼łuje z├íkazn├şkom monitorova┼ą a spravova┼ą sie┼ąov├ę z├ísady pr├şstupu k aplik├íci├ím na zariadeniach zalo┼żen├Żch na Cisco APIC.

Samostatne spolo─Źnos┼ą tie┼ż opravila viacero nedostatkov v Cisco Application Services Engine (CVE-2021-1393 a CVE-2021-1396, sk├│re CVSS 9.8), ktor├ę by mohli udeli┼ą vzdialen├ęmu ├║to─Źn├şkovi pr├şstup k privilegovanej slu┼żbe alebo ┼ípecifick├Żm rozhraniam API, ─Źo by malo za n├ísledok mo┼żnosti sp├║┼í┼ąania kontajnerov alebo vyvol├ívania oper├íci├ş na ├║rovni hostite─ża a z├şskavania inform├íci├ş o konkr├ętnych zariadeniach, vytv├íran├ş s├║borov technickej podpory v izolovanom zv├Ązku a vykon├ívan├ş obmedzenej konfigur├ície. zmeny.”

Obidve chyby boli v├Żsledkom nedostato─Źnej kontroly pr├şstupu pre API be┼żiace v d├ítovej sieti, poznamenal Cisco.

Major siet├ş uviedol, ┼że vy┼í┼íie uveden├ę tri slab├ę str├ínky boli objaven├ę po─Źas intern├ęho testovania bezpe─Źnosti, ale dodal, ┼że nezistil ┼żiadne ┼íkodliv├ę pokusy o zneu┼żitie zranite─żnosti vo vo─żnej pr├şrode.

Nakoniec spolo─Źnos┼ą Cisco opravila zranite─żnos┼ą (CVE-2021-1361, sk├│re CVSS 9.8) pri implement├ícii internej slu┼żby spr├ívy s├║borov pre prep├şna─Źe Cisco Nexus 3000 Series a Cisco Nexus 9000 Series so syst├ęmom NX-OS, sie┼ąov├Żm opera─Źn├Żm syst├ęmom spolo─Źnosti pou┼ż├şvan├Żm v ethernetov├Żch prep├şna─Źoch Nexus.

Spolo─Źnos┼ą varovala, ┼że to m├┤┼że zl├ęmu akt├ęrovi umo┼żni┼ą vytv├íra┼ą, odstra┼łova┼ą alebo prepisova┼ą ─żubovo─żn├ę s├║bory s opr├ívneniami typu root, vr├ítane povolenia ├║to─Źn├şkovi prida┼ą pou┼ż├şvate─żsk├ę konto bez vedomia spr├ívcu zariadenia.

Spolo─Źnos┼ą Cisco uviedla, ┼że prep├şna─Źe Nexus 3000 a Nexus 9000 vyu┼ż├şvaj├║ce vydanie softv├ęru Cisco NX-OS 9.3(5) alebo Uvo─żni┼ą 9.3(6) s├║ predvolene zranite─żn├ę.

ÔÇ×T├íto zranite─żnos┼ą existuje, preto┼że port TCP 9075 je nespr├ívne nakonfigurovan├Ż tak, aby po─Ź├║val a reagoval na po┼żiadavky extern├ęho pripojenia,ÔÇť na─Źrtlo Cisco protivn├şka. “├Üto─Źn├şk by mohol zneu┼żi┼ą t├║to zranite─żnos┼ą odoslan├şm vytvoren├Żch TCP paketov na IP adresu, ktor├í je nakonfigurovan├í na lok├ílnom rozhran├ş na TCP porte 9075.”

Z├íplaty prich├ídzaj├║ t├Ż┼żdne po tom, ─Źo spolo─Źnos┼ą Cisco napravila a┼ż 44 ch├Żb vo svojich smerova─Źoch Small Business, ktor├ę by potenci├ílne mohli umo┼żni┼ą neoveren├ęmu vzdialen├ęmu ├║to─Źn├şkovi spusti┼ą ─żubovo─żn├Ż k├│d ako pou┼ż├şvate─ż root a dokonca sp├┤sobi┼ą stav odmietnutia slu┼żby.