Thema: Schwachstellen in Cisco-Geräten

[spoke1]

Der Netzwerkausrüster Cisco hat zwei Sicherheitsmeldungen zu seinen Produkten herausgegeben. Eine betrifft Ciscos SOHO-Router sowie die Router der 800er-Serie, die andere Ciscos Unified CallManager.

Die von der ersten Schwachstelle betroffenen, in der Sicherheitsmeldung detailliert aufgelisteten Router liefert Cisco mit einer Software namens Cisco Router Web Setup (CRWS) aus. Diese dient zur einfachen, webgestützten Konfiguration der Geräte. In der Standardkonfiguration der CRWS-Versionen vor 3.3.0 Build 31 wird jedoch kein Passwort abgefragt. So könnten Angreifer ohne Anmeldung Zugriff mit den höchsten Privilegien erlangen.


mehr: http://www.heise.de/newsticker/meldung/75409

[SiLæncer]

Cisco hat noch eine dritte Fehlermeldung zu den Intrusion-Prevention-Systemen (IPS) in den Appliances der 4200er-Serie herausgegeben. In den IPS-Software-Versionen 5.1(1) bis 5.1(1e) sowie 5.1(p1) können diese Geräte durch einen Fehler im Gerätetreiber für die eingesetzten Intel-basierten Netzwerkkarten durch das Verarbeiten eines manipulierten Paketes abstürzen. Auch hierfür stellt Cisco aktualisierte Software in Version 5.2 zur Verfügung.

Quelle : www.heise.de

[SiLæncer]

Durch einen Fehler in der Software des Firewall Service Moduls (FWSM) kann eine Serie von speziell präparierten ICMP-Paketen Cisco-Router und Switches lahmlegen. Betroffen sind Catalyst 6500 Series Switches und Cisco 7600 Series Router, die mit einem Firewall Service Modul ausgestattet sind. Alle FWSM-Software-Versionen 2.x, 3.x und 4.x ohne speziellen Fix sind anfällig. Wie Cisco in einer Sicherheitsnotiz ausführt, kann die Abarbeitung der ICMP-Pakete dazu führen, dass ein Prozessor alle verfügbaren Execution Threads belegt. Das bedeutet, dass das System keine Pakete mehr weiterleitet. Außerdem ist dann auch das FSWM selbst nicht mehr übers Netz zu erreichen; ein eingerichteter Failover könnte ebenfalls versagen.

Mit dem Befehl show np 2 stats kann man feststellen, ob dieses Problem bereits aufgetreten ist. Das System liefert in diesem Fall die Meldung "ERROR: np_logger_query request for FP Stats failed". Workarounds nennt der Hersteller keine, er stellt jedoch aktualisierte Versionen der FWSM-Software bereit, bei denen das Problem nicht mehr auftreten soll.

Siehe dazu auch:

    * Firewall Services Module Crafted ICMP Message Vulnerability, Cisco Security Advisory

Quelle : www.heise.de

[SiLæncer]

Durch eine konzeptionelle Sicherheitslücke können Angreifer WLAN-Router von Cisco außer Gefecht setzen. Auch das Einrichten einer Backdoor in das Unternehmensnetzwerk soll dadurch möglich sein.
Dies berichtet die Firma AirMagnet, die sich auf die Absicherung drahtloser Netzwerke spezialisiert hat. Das Problem liegt demnach in der Art und Weise, wie neue Access Points von Cisco einem bereits bestehendem WLAN hinzugefügt werden. Bei Ciscos Over-the-Air-Provisioning (OTAP) senden die bereits installierten WLAN-Router Informationen über den nächstgelegenen Netzwerk-Controller, mit dem sie selbst in Verbindung stehen. Wird ein weiteres Gerät hinzugefügt, empfängt es diese Konfigurationsdaten und verbindet sich ebenfalls mit diesem Controller.

Das Problem dabei: Die Informationen wie etwa die IP- und MAC-Adresse werden unverschlüsselt übertragen. Diese Daten abzufangen ist daher ein Kinderspiel und mit Gratis-Tools wie etwa NetStumbler recht einfach zu bewerkstelligen, so Wade Williamson von Air Magnet, dessen Forschungsteam die Lücke entdeckt hat.

Mit den Informationen ausgestattet kann ein Hacker den Controller mit einer Denial of Service-Attacke zunächst außer Gefecht setzen. Doch ein anderer Angriff über diese Schwachstelle könnte verheerend sein: Ein Hacker muss hierfür den Zeitpunkt abpassen, wann ein neuer WLAN-Router ans Netz geht, und sich dann als Controller ausgeben. Auf diese Weise kann er den Access Point kapern und eine Hintertür zum Unternehmensnetzwerk aufstoßen, warnt Williamson. AirMagnet bezeichnet diese Art von Angriff als SkyJack.

Laut AirMagnet sind alle Lightweight WLAN-Router von Cisco betroffen. Diese Produkte benötigen einen separaten Controller und eignen sich zum Aufbau einer durchgängigen WLAN-Infrastruktur. Dies seien die meisten Access Points, die Cisco seit der Übernahme von Airespace 2005 ausgeliefert habe, sagt Williamson.

Cisco ist über die Sicherheitslücke informiert. Bis zu einer Lösung rät AirMagnet, das OTAP-Feature von Cisco nicht zu nutzen.

Quelle : www.tecchannel.de

[SiLæncer]

Cisco hat ein Software-Update für zahlreiche seiner Produkte zur Verfügung gestellt, um eine DoS-Schwachstelle zu beseitigen. Angreifer können durch Manipulation des Zustands einer etablierten TCP-Verbindung erreichen, dass es für die Verbindung kein Time-Out gibt. Damit bleibt die Verbindung für immer bestehen. Laut Cisco hängen sie beispielsweise im FINWAIT1-Zustand fest.

Erreicht der Angreifer dies für eine Vielzahl von Verbindungen, belegt dies so viel Ressourcen, dass keine weiteren Verbindungen mehr zum angegriffenen System möglich sind. Abhilfe brächte nur ein Reboot. In einigen stürzt das System sogar ab.

Betroffen sind Cisco IOS, IOS-XE, CatOS, ASA, PIX, NX-OS und Produkte der Linksys-Reihe. Eine genaue Übersicht der betroffenen und nicht betroffenen Systeme ist im Originalfehlerbericht des Herstellers zu finden.

Neu ist das Problem nicht, es schwelt schon seit Längerem in den TCP-Stacks verschiedener Hersteller und ist eigentlich ein Fehler im TCP-Protokoll selbst. Erstmals berichteten Robert E. Lee und Jack C. Louis von Outpost24 über das Problem im vergangenen Oktober. Sie stellten mit einem Tool fest, dass bereits eine schmalbandige Internet-Verbindung ausreicht, um einen breitbandig angeschlossenen Server vom Netz zu schießen. Seit dieser Entdeckung basteln mehrere Hersteller an einer Lösung des Problems.

Neben Cisco hat auch Microsoft gestern ein Patch zur Lösung des Problems veröffentlicht. Auch Checkpoint, Juniper und andere Hersteller haben jetzt reagiert. Das finnische CERT hat nun auch endlich Details zu dem Problem und das Tool Sockstress veröffentlicht.

Quelle und Links : http://www.heise.de/newsticker/Ciscos-TCP-Stack-anfaellig-fuer-DoS-Attacken--/meldung/145062

[SiLæncer]

Cisco hat elf Berichte über Schwachstellen in seinem Routerbetriebssystem IOS und dem Unified Communications Manager veröffentlicht. Allein sieben der Berichte beschreiben DoS-Probleme in IOS, die zu einem Neustart des Systems oder zum Verbrauch sämtlicher Systemresourcen führen können. Dazu genügt in den meisten Fällen, dass ein Angreifer ein präpariertes Paket über das Netz an das verwundbare Gerät schickt.

Die Fehler sind in den Funktionen zur Verarbeitung von SIP, H.323, NTP, IKE und IP-Tunnels zu finden. Darüber hinaus lassen sich der Authentication Proxy for HTTP(S) und die Access Control Lists in bestimtmen Fällen umgehen. Der Cisco Unified Communications Manager Express weist zudem in der Extension- Mobility-Funktion einen Buffer Overflow auf, durch den ein unauthentifizierter Angreifer aus der Ferne Code in einen System schleusen und starten kann.

Der Hersteller hat für alle Probleme Updates bereit gestellt. In der Herstellerübersicht der Schwachstellen ist eine Liste der betroffenen IOS-Versionen zu finden. Als Workaround schlägt Cisco das Abschalten der jeweiligen betroffenen Funktion vor.

Siehe dazu auch:

    * Summary of Cisco IOS Software Bundled Advisories, September 23, 2009, Übersicht von Cisco

Quelle : www.heise.de