Cisco is de waarschuwing van bedrijven die gebruik maken van de draadloze VPN en firewall routers updates te installeren onmiddellijk te wijten aan een kritische fout die externe aanvallers kunnen misbruiken om in te breken in een netwerk.
De kwetsbaarheid kan een aanvaller met elke browser om code uit te voeren van hun keuze via de web interface die wordt gebruikt voor het beheren van Cisco RV110W Wireless-N VPN Firewall Cisco RV130W Wireless-N Multifunctionele VPN-Router, en Cisco RV215W Wireless-N VPN-Router.
De networking gigant heeft toegewezen de bug, tagged als CVE-2019-1663, met een ernst score van 9,8 uit van een mogelijk 10 onder de Common Vulnerability Scoring System (CVSS).
Cisco ‘s ontwikkelaars mislukt om ervoor te zorgen dat de web app goed controleert de gegevens die de gebruikers in de routers’ management interface, die kan een aanvaller de controle van het besturingssysteem.
“De kwetsbaarheid is het gevolg van een onjuiste validatie van door de gebruiker verstrekte gegevens in de web-gebaseerde interface. Een aanvaller kan dit beveiligingslek door het verzenden van schadelijke HTTP-verzoeken om een gerichte apparaat,” Cisco merkt in haar advies.
“Een succesvolle exploit kan de aanvaller willekeurige code kan uitvoeren op de onderliggende besturingssysteem van het desbetreffende apparaat zoals een hoge voorrecht van de gebruiker.”
Klanten zijn blootgesteld aan een externe aanvallen als ze kon de remote-functie voor het beheer op de betreffende apparaten. De functie is standaard uitgeschakeld.
Admins kunnen controleren of een apparaat heeft de externe-management-functie is ingeschakeld door het openen van de web-interface en het selecteren van de vereiste Instellingen > Beheer op Afstand.
Cisco niet zeggen dat het fout is gemaakt, maar kennis van haar bestaan heeft zweven rond voor zes maanden. Het bedrijf merkt op dat de Chinese veiligheid onderzoekers bleek de fout bij de GeekPwn Shanghai conferentie op oktober 24 en 25, 2018.
De onderzoekers gaven niet al te technische details van de fout. Een onderzoeker bij ONS kantoor Pen Test Partners leverde ook de details van Cisco.
ZIE ook: 10 tips voor nieuwe cybersecurity voors (gratis PDF)
De bug is opgelost in de software versies 1.2.2.1 voor RV110W Wireless-N VPN Firewall, 1.0.3.45 voor RV130W Wireless-N Multifunctionele VPN-Router, en 1.3.1.1 voor de RV215W Wireless-N VPN-Router.
Cisco is ook te onderzoeken welke van de producten die zijn aangetast door een ernstige container bug in runc, de runtime gebruikt door Docker en Kubernetes. De bug kan een aanvaller te infecteren een container met malware die compromissen van het host systeem.
Het is toch om te bevestigen of alle producten zijn kwetsbaar, maar merkt in een geactualiseerd advies dat het aftasten van de Cisco IOS-XE, Cisco UCS B-Series M3 Blade-Servers en Cisco Smart Software Manager Satelliet. Het is ook het bijwerken van een lijst van software die het heeft bevestigd, is niet kwetsbaar voor de container fout.
En als je ooit nodig is voor de installatie van Cisco Webex Meetings Desktop-App voor het bijwonen van een conference call, het loont de moeite om te controleren of het nog steeds geïnstalleerd. Als dat zo is, Cisco raadt het bijwerken van zo snel mogelijk.
“Een kwetsbaarheid in de update service van Cisco Webex Meetings Desktop-App en Cisco Webex-productiviteitstools voor Windows kan waardoor een geverifieerde lokale kwaadwillende gebruiker, of aanvaller uitvoeren van willekeurige commando ‘s als een bevoorrechte gebruiker”, Cisco legt in een security advisory.
Vorige en aanverwante dekking
Cisco ‘ s waarschuwing: deze Patch standaard Netwerk Zekerheid Motor wachtwoord bug
Bij het wijzigen van het standaard admin wachtwoord niet daadwerkelijk veranderen van het wachtwoord.
Cisco waarschuwt: Patch nu of het risico dat uw security appliance verstikking op enkele malafide e-mail
Een slechte e-mail kan een crash van uw Cisco email security appliance en houden het vast als het probeert om dezelfde e-mail over en weer.
Cisco kondigt willekeurige uitvoering SD-WAN-Oplossing en Webex
Netwerken reus onthult 23 security problemen raken van die producten, waaronder SD-WAN-Oplossing, Webex, en small business routers.
Cisco updates SD-WAN-portfolio uit met nieuwe beveiligingsfuncties
Een van de belangrijkste updates, Cisco zei: het is de integratie van applicatie-bewust enterprise firewall, intrusion prevention, en URL-filtering in Cisco SD-WAN-apparaten.
Cisco: Linux kernel FragmentSmack bug nu van invloed op 88 van onze producten
Cisco ‘ s lijst van producten met een Linux kernel denial-of-service fout is groeiende.
Cisco: We hebben gedood andere kritische hard-coded root wachtwoord bug, patch dringend
Deze keer een 9.8/10-ernst hardcoded wachtwoord is te vinden in de Cisco video surveillance software.
Cisco kritieke fout waarschuwing: Deze 10/10 ernst bugs moeten patchen nu
De Cisco software voor het beheren van software gedefinieerde netwerken heeft drie kritische, extern worden misbruikt kwetsbaarheden.
Cisco patches kritische Nexus fouten: Zijn de switches kwetsbaar?
Je moet waden door Cisco ‘ s adviezen uit te werken als software je draait kwetsbaar is of al vast.
Cisco: nu Bijwerken te lossen kritische hardcoded wachtwoord bug, tot uitvoering van externe code fout
Cisco patches twee ernstige verificatie bugs en een Java deserialisatie fout.
Cisco waarschuwt klanten van kritieke beveiligingsfouten, advies bevat Apache Struts
De enorme beveiligingsupdate bevat een patch voor de onlangs bekendgemaakt Apache bug — maar niet alle producten zijn toch vast.
Cisco updates ASR 9000 rand routing platform te dragen gebruikers 5G, multicloud wereld TechRepublic
Nieuwe software voor de automatisering, een nieuwe netwerk-processor en een nieuw besturingssysteem zal helpen Cisco-klanten de overstap te maken naar de volgende generatie netwerken.
Apple en Cisco zwembad van hun macht te beschermen bedrijven tegen cyber-risico ‘ s CNET
Apple en Cisco bundelen hun krachten om bedrijven te beschermen tegen de risico ‘ s van cyber bedreigingen.
Verwante Onderwerpen:
Cisco
Beveiliging TV
Data Management
CXO
Datacenters