Home | | | Short News | | | Long News | | | Long Reads | | | Support | | | Library |
Брешь в Secure Access Control System позволяла удаленно выполнять произвольный код на сетевых устройствах.
Cisco исправила уязвимость в одном из компонентов Secure Access Control System (ACS). Через эту брешь злоумышленник мог обойти систему аутентификации программы и удаленно выполнить произвольный код на сетевом устройстве. Продукт уже снят с продажи, однако производитель пропатчил баг и выпустил внеочередное обновление системы.
Проблему обнаружили в модуле ACS Report. Она связана с недостатками в процедуре обработки сообщений протокола AMF — специализированного формата обмена данными для приложений, написанных на ActionScript.
Как сообщили специалисты Cisco, злоумышленник способен проэксплуатировать уязвимость, отправив вредоносное AMF-сообщение на устройство жертвы. В результате успешной атаки киберпреступник получит возможность выполнить произвольный код на скомпрометированной системе.
Secure ACS предназначена для централизованного управления доступом к сетевому оборудованию Cisco, поэтому под угрозой оказалось большое количество устройств. Производитель подчеркивает, что проблема не касается продуктов, на которых установлены серверные варианты системы:
Баг исправлен в ACS версии 5.8.0.32 с кумулятивным патчем 7. Все более ранние релизы программы содержат брешь, и производитель рекомендует немедленно обновить их. Апдейты доступны по стандартным каналам поддержки пользователей. Владельцы уязвимых систем без контракта на обслуживание должны обратиться к ближайшему дилеру компании или напрямую в Cisco.
Secure Access Control System не продается конечным пользователям с 30 августа 2017 года. Как сообщают представители Cisco, им неизвестно о случаях эксплуатации обнаруженной уязвимости. Проблему выявили и пропатчили благодаря сообщению ИБ-экспертов Михаила Ключникова и Юрия Аленова.
Cisco является крупнейшим производителем маршрутизаторов в мире, по результатам продаж в 4 квартале 2017 года компания контролирует 53% рынка. Вендор активно работает над безопасностью своих продуктов — так, в начале мая компания закрыла уязвимость платформы WebEx, которая позволяла удаленно выполнить вредоносный код.
Ранее компания залатала критический баг в Unified Computing System (UCS) Director, а недавно отреагировала патчем на сообщение о пароле по умолчанию, зашитом в код программы DNA Center
19:45 |
||
17:45 |
||
14:45 |
||
12:45 |
||
11:45 |
||
09:45 |
||
09:45 |
||
19:45 |
||
18:45 |
||
16:45 |
||
15:45 |
||
14:45 |
||
13:45 |
||
10:45 |
||
10:45 |
||
09:45 |
||
19:45 |
||
19:45 |
Home | | | Short News | | | Long News | | | Long Reads | | | Support | | | Library | | | Blogs | | | Links |