Cisco är varning för företag att använda sin trådlösa VPN och brandväggar, routrar för att installera uppdateringar omedelbart på grund av att ett kritiskt fel som angripare kan utnyttja för att bryta sig in i ett nätverk.
Sårbarheten gör att eventuella angripare med någon webbläsare för att köra valfri kod via webb-gränssnittet som används för att hantera Cisco RV110W Wireless-N VPN-Brandvägg, Cisco RV130W Wireless-N Multifunktion VPN-Router, och Cisco RV215W Wireless-N VPN-Router.
De nätverk jätte har tilldelats fel, taggad som CVE-2019-1663, med en svårighetsgrad betyg av 9.8 av 10 möjliga inom ramen för den Gemensamma Sårbarheten Scoring System (CVSS).
Cisco ‘s utvecklare underlåtit att se till webb-appen på rätt sätt kontrollerar data som användaren skriver in i de routrar som’ gränssnitt, som skulle kunna ge en angripare kontroll av operativsystemet.
“Sårbarhet är på grund av felaktig validering av användaren angivna data i den webb-baserade gränssnitt. En angripare kan utnyttja säkerhetsproblemet genom att skicka skadlig HTTP-förfrågningar till en fokuserad enhet,” Cisco konstaterar i sin rådgivande.
“Ett framgångsrikt utnyttja kunde tillåta en angripare att exekvera godtycklig kod på den underliggande operativsystemet av den berörda enheten som en hög behörighet användaren.”
Kunder är utsatta för en avlägsen attack om de har aktiverat fjärr-management-funktionen på berörda enheter. Den funktionen är inaktiverad som standard.
Administratörer kan kontrollera om en enhet har fjärr-management-funktionen är aktiverad genom att öppna web-gränssnittet och välja Grundläggande Inställningar > Remote Management.
Cisco inte säga fel har utnyttjats, men kunskapen om dess existens har flyter runt i sex månader. Bolaget konstaterar att Kinesiska säkerhet forskare visat fel på GeekPwn Shanghai konferens 24-25 oktober 2018.
Forskarna inte avslöja tekniska detaljer om felet. Forskare på det AMERIKANSKA företaget Penna Test Partner också levererat uppgifter till Cisco.
SE: 10 tips för nya it-proffs (gratis PDF)
Felet är fast i versioner 1.2.2.1 för RV110W Wireless-N VPN-Brandvägg, 1.0.3.45 för RV130W Wireless-N Multifunktion VPN-Router, och 1.3.1.1 för RV215W Wireless-N VPN-Router.
Cisco är också att undersöka vilka av dess produkter påverkas av en allvarlig behållare bugg i runc runtime som används av Docker och Kubernetes. Felet kunde tillåta en angripare att infektera en behållare med skadliga program som äventyrar den mottagande systemet.
Det är ännu inte bekräfta om några produkter som är utsatta, men konstaterar i en uppdaterad rådgivande att det är sondering Cisco IOS XE, Cisco UCS B-Serien M3-bladservrar, och Cisco Smart Programvara Manager Satellit. Det är också uppdatera en lista över program som har bekräftats är inte utsatta för att behållaren fel.
Och om du någonsin behövt att installera Cisco Webex-Möten Desktop App för att delta i en konferens, kan det vara värt att kolla om det fortfarande är installerat. Om det är, Cisco rekommenderar att du uppdaterar så snart som möjligt.
“En sårbarhet i update-tjänsten för Cisco Webex-Möten Desktop App och Cisco Webex Produktivitet Verktyg för Windows kan ge en autentiserad lokal angripare att exekvera godtyckliga kommandon som en privilegierad användare,” Cisco förklarar på ett säkerhetsmeddelande.
Tidigare och relaterade täckning
Cisco varning: Patch denna standard Nätet Garanti Motor lösenord bugg
När du ändrar den förvalda admin lösenord faktiskt inte byta lösenord på alla.
Cisco varnar: Patch nu eller risk för din säkerhet apparaten kvävning på enstaka oseriösa e-post
En dålig e-post kan krascha din Cisco mail security appliance och hålla det som det försöker bearbeta samma e-post om och om igen.
Cisco avslöjar godtycklig utförande i SD-WAN Lösning och Webex
Nätverk jätte avslöjar 23 säkerhetsfrågor träffa produkter inklusive SD-WAN Lösning, Webex och små företag routrar.
Cisco uppdateringar SD-WAN portfölj med nya säkerhetsdetaljer
Bland de viktigaste uppdateringar, sade Cisco det är att integrera program-medvetna om företagets brandvägg, intrusion prevention, och URL-filtrering i Cisco SD-WAN enheter.
Cisco: Linux-kärnan FragmentSmack bugg nu påverkar 88 av våra produkter
Cisco: s lista över produkter med en Linux-kärna denial-of-service-fel är växande.
Cisco: Vi har dödat en annan kritisk hårdkodade lösenord för root buggen, patchen snarast
Denna gång en 9.8/10-svårighetsgrad hårdkodade lösenord har hittats i Cisco video surveillance program.
Cisco kritiska fel varning: Dessa 10/10 svårighetsgrad buggar behöver patcha nu
Ciscos programvara för att hantera programvarudefinierade nätverk har tre kritiska, fjärrbasis sårbarheter.
Cisco patchar av kritisk Nexus brister: Är din växlar utsatta?
Du måste vada genom Cisco: s råd för att räkna ut om programvaran du kör är utsatta eller som redan har fastställts.
Cisco: Uppdatera nu för att åtgärda kritiska hårdkodade lösenord bugg, fjärrkörning av kod fel
Cisco fläckar två allvarliga autentisering buggar och en Java avserialisering fel.
Cisco varnar kunder för kritiska säkerhetsluckor, rådgivande innehåller Apache Struts
Den massiva uppdateringen även en patch för den nyligen offentliggjorda Apache fel-men inte alla produkter kommer att vara fast ännu.
Cisco uppdateringar ASR 9000 kanten routing plattform för att bära användare till 5G, multicloud världen TechRepublic
Nya automatisering, ett nytt nätverk processor och ett nytt operativsystem kommer att hjälpa Cisco kunder att göra övergången till nästa generations nätverk.
Apple och Cisco pool sin makt för att skydda företag från it-risker CNET
Apple och Cisco går samman för att skydda företag från att risken för it-hot.
Relaterade Ämnen:
Cisco
Säkerhet-TV
Hantering Av Data
CXO
Datacenter