シスコの重大な欠陥の警告: これらの重大度 10/10 のバグには今すぐパッチを適用する必要があります

Cisco、Smart Install の重大な欠陥にパッチを適用: 850 万台のデバイスが影響を受ける。

シスコは、新しいデジタル ネットワーク アーキテクチャ（DNA）センター ソフトウェアを使用している顧客に対し、新しいものをインストールするよう警告しています。 リモート攻撃者に企業へのアクセスを与える可能性がある 3 つの重大な脆弱性に対処するリリース ネットワーク。

シスコは過去数カ月にわたり、以前のリリースに影響を与える深刻な認証の欠陥に対処する新しい DNA Center リリースを展開してきたが、水曜日に明らかになった。

最初の DNA Center リリースは 2018 年 1 月に利用可能になりましたが、それと 1.1.3 までのバージョンは CVSS v3 の基本スコアが 10 点満点中 10 点の 3 つの欠陥に対して脆弱です。これは、以下と同じくらい深刻であることを意味します。 それが取得します。

シスコは内部監査中に 2 つのバグを発見しました。そのうちの 1 つは、文書化されていない、DNA Center のデフォルト管理アカウントのハードコーディングされたユーザ クレデンシャルで構成されていました。

このバグこれは CVE-2018-0222 として追跡されており、資格情報を知っているリモート攻撃者が root 権限でログインしてコマンドを実行する可能性があります。

Cisco は、3 月にリリースされた DNA Center の 1.1.3 リリースでこの問題を修正しました。 それ以来、DNA Center 1.1.4 および 1.1.5 もリリースされているため、これらのリリースを使用している顧客は脆弱ではありません。

見る： 特別レポート: IoT とモバイルの世界におけるサイバーセキュリティ (無料 PDF)

今年初めに シスコも同様に、CVSS v3 スコア 10 の欠陥に関するアドバイザリを投稿しました

修正バージョンのリリースから数か月後に ASA に影響します。 ある管理者はシスコを次のように批判した。 80日待っています 修正がすでに利用可能であることを顧客に伝えるため。

しかし、シスコは、そのタイミングを調整したという理由でこの動きを擁護した。 研究者との情報開示により、詳細を明らかにする前に保護を導入する時間ができました。 明らかになった。

シスコはまた、DNA Center が、認証されていないリモート攻撃者が特別に作成した URL を使用して悪用できる認証バイパスに対して脆弱であることも発見しました。

「この脆弱性は、リクエストを処理する前に URL を正規化できないことが原因です。 攻撃者は、この問題を悪用するように設計された細工された URL を送信することにより、この脆弱性を悪用する可能性があります。 エクスプロイトに成功すると、攻撃者が重要なサービスに認証されていないアクセスを取得し、その結果 DNA Center の権限が昇格される可能性があります。」 ノート.

1.1.2 リリースより前の DNA Center のすべてのバージョンが影響を受けます。

の 第三の欠陥 この問題は顧客の協力により発見され、DNA Center の Kubernetes コンテナ管理サブシステムに影響を与えました。

リモート攻撃者は、安全でないデフォルト構成を悪用して、Kubernetes サービス ポートにアクセスし、昇格された権限でコマンドを実行し、コンテナを完全に侵害する可能性があります。 このバグは DNA Center 1.1.4 以降で修正されています。

シスコは次の修正をリリースしました 昨日は合計 16 個の欠陥がありました 他の 4 つの重大度の高い問題と 9 つの中程度の欠陥に対処します。

過去の報道と関連報道

シスコのセキュリティ：ロシアとイランのスイッチが画面上に米国の国旗を残した攻撃者に襲われる

ハッカーはシスコの機器を使って、米国の選挙を混乱させないようロシアにメッセージを送っている。

シスコの警告: あなたのネットワークを狙う政府ハッカーに注意してください

シスコは、Smart Install クライアント ユーザに対し、ソフトウェアにパッチを適用し、安全に設定することを推奨しています。

シスコの重大な欠陥: 少なくとも 850 万台のスイッチが攻撃を受ける可能性があるため、今すぐパッチを適用してください

シスコは、デフォルトで開いているポートに送信される細工されたメッセージによって攻撃される可能性があるスイッチ展開ソフトウェアの重大な欠陥にパッチを適用しました。

Cisco：ハードコードされたパスワードの重大なバグ、リモート コード実行の欠陥を修正するために今すぐアップデートしてください

シスコは、2 つの深刻な認証バグと Java デシリアライゼーションの欠陥にパッチを適用しました。

Cisco: セキュリティ アプライアンスの重大なバグが現在攻撃を受けています

シスコの重大度 10 点中 10 点のバグに対する概念実証のエクスプロイトは、研究者が攻撃の詳細を明らかにした数日後に表面化しました。

Cisco: 危険な ASA VPN バグのため、セキュリティ デバイスに再度パッチを適用する必要があります

シスコは、重大度 10/10 の ASA VPN の欠陥に対する当初の修正は次のとおりであると警告しました。

シスコ、VPNの重大な欠陥にパッチを当てていたことを明らかにするまで「80日待った」

更新日: シスコは、企業がネットワーク機器を保護するためにもっと支援すべきだと、ある顧客は述べています。

Cisco スイッチの欠陥により、いくつかの国で重要インフラへの攻撃が発生TechRepublic

この攻撃は Cisco Smart Install Client を標的にしており、最大 168,000 のシステムが脆弱になる可能性があります。