В роутерах Cisco ASR 9000 закрыта опасная уязвимость

Эксплуатация позволяет получить административный доступ к устройству и вызвать состояние отказа в обслуживании.

Компания Cisco Systems пропатчила критическую уязвимость в сервисных маршрутизаторах серии ASR 9000. Согласно бюллетеню, атака через эту лазейку позволяет получить доступ к устройству на уровне администратора, а также вызвать на нем состояние отказа в обслуживании.

Уязвимость CVE-2019-1710, получившая 9,8 балла по шкале CVSS, возникла из-за неадекватной изоляции вторичного интерфейса управления от внутренних приложений, запускаемых в виртуальной машине системного администратора.

«Чтобы воспользоваться уязвимостью, злоумышленник должен подключиться к одному из слушающих внутренних приложений, — пишет разработчик. — Успешная эксплуатация создает условия для дестабилизации работы, в том числе через отказ в обслуживании или удаленный несанкционированный доступ к устройству».

Проблема актуальна для роутеров ASR 9000, работающих под управлением 64-битной IOS XR с подключенным и настроенным вторичным интерфейсом управления. Данных о ее использовании в реальных атаках на настоящий момент нет. Патч включен в состав новых выпусков ОС — 6.5.3 и 7.0.1.

Одновременно вышли заплатки для другой критической уязвимости в Cisco IOS — она стала достоянием общественности два года назад. Брещь, зарегистрированная как CVE-2017-3881, связана с возможностью удаленного выполнения произвольного кода в IOS и IOS X и затрагивает более 300 сетевых устройств — в основном свитчи разных моделей. Проблема возникла из-за недочетов в реализации подсистемы CMP; эксплуатация возможна лишь в том случае, когда сетевое устройство настроено на прием входящих соединений Telnet.

Согласно обновленному бюллетеню Cisco, неделю назад для этой уязвимости был опубликован PoC-код. Пользователям затронутых устройств настоятельно рекомендуется установить обновление.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля