SOS :: Security Operation Space
28 марта, четверг, 00:00
|
Hot News:

Cisco обновила алерт о критическом баге в IOS XE

21 сентября 2018 г., пятница, 16:22

Опасная уязвимость, которую вендор закрыл полгода назад, пропатчена также еще в одном продукте.

Компания Cisco Systems повторно проинформировала пользователей об уязвимости в IOS XE, связанной с наличием вшитых в код учетных данных. Первичное сообщение о бреши, позволяющей получить привилегированный доступ к системе в обход аутентификации, появилось полгода назад, тогда же была выпущена соответствующая заплатка.

В среду, 19 сентября, вендор обновил бюллетень, дополнив его информацией о наличии отдельного патча для виртуального маршрутизатора ISRv, тоже затронутый опасной уязвимостью.

Согласно этому документу, брешь CVE-2018-0150 «позволяет удаленно и без аутентификации получить доступ к устройству с уязвимым ПО Cisco IOS XE с помощью дефолтных имени пользователя и пароля, используемых при начальной загрузке». В случае успешного эксплойта автор атаки обретает права доступа уровня 15 (по сути, root).

Уязвимости, оцененной в 9,8 балла по шкале CVSS, подвержены сетевые устройства Cisco, работающие под управлением IOS XE 16.х. Кроме установки патча, эксплойту можно воспрепятствовать, удалив дефолтный аккаунт через настройки (с помощью команды no username cisco) или сменив установленный по умолчанию пароль.

Производитель также объявил о выпуске патчей для новых уязвимостей в ПО для конференц-связи WebEx. Бреши CVE-2018-15414, CVE-2018-15421 и CVE-2018-15422, обнаруженные в проигрывателе для формата ARF, признаны весьма опасными (7,8 балла по CVSS); их причиной является неправильная валидация файлов при обработке. «Множественные уязвимости в Cisco Webex Network Recording Player для ARF позволяют удаленно и в обход аутентификации выполнить произвольный код в целевой системе», — сказано в бюллетене.

Воспользоваться этими багами можно, отправив потенциальной жертве email-сообщение с вредоносной ссылкой или вложением. Если автору атаки удастся убедить получателя открыть специально созданный файл в непропатченном Webex Player, эксплойт успешно отработает.

Данная проблема затрагивает сайты с установленным ПО Cisco Webex Meetings Suite и Webex Meetings Online, а также Cisco Webex Meetings Server. Альтернативных мер защиты вендор не предлагает.

Ваш голос учтён!
нравится
не нравится Рейтинг:
0
Всего голосов: 0
Комментарии

Добавить комментарий к новости

Ваше имя: *
Сообщение: *
Нет комментариев
19:45
17:45
14:45
12:45
11:45
09:45
09:45
19:45
18:45
16:45
15:45
14:45
13:45
10:45
10:45
09:45
19:45
19:45


© 2013—2024 SOS :: Security Operation Space (Пространство Операций Безопасности)  // AMS  // Обратная связь  | 0.076
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.