Unter den kritischen Sicherheitslücken, die Cisco in seinen WLAN-Access-Points geschlossen hat, befindet sich eine Anfälligkeit in Produkten der Modellreihe Aironet 1800, die es einem Angreifer erlaubt, sich mithilfe eines voreingestellten Kontos bei einem Gerät anzumelden. Das Konto verfüge aber nur über eingeschränkte Rechte, schreibt Cisco in einem Advisory. Das voreingestellte Konto werde bei der Installation des Geräts angelegt, so Cisco weiter. Das von der Schwachstelle ausgehende Risiko stuft das Unternehmen als hoch ein.
Das Unternehmen hat die vier Sicherheitslücken nach eigenen Angaben selbst im Rahmen von internen Sicherheitstests entdeckt. Bisher gebe es keine Hinweise auf einen Missbrauch der Anfälligkeiten.
Eine kritische Lücke steckt zudem in Geräten, auf denen die Cisco Identity Services Engine ausgeführt wird.
Betroffen sind die Softwareversionen 1.1 oder später, 1.2.0 vor Patch 17, 1.2.1 vor Patch 8, 1.3 vor Patch 5 oder 1.4 vor Patch 4. Hier könnte ein Angreifer über das Administrator-Portal unerlaubt auf ein Gerät zugreifen und die vollständige Kontrolle übernehmen. Cisco rät seinen Kunden, auf eine gepatchte Softwareversion umzusteigen.
Cisco stuft ein Leck in der Software Wireless LAN Controller (WLC) der Modellreihen Cisco 2500 Series, Cisco 5500 Series, Cisco 8500 Series, Cisco Flex 7500 Series und Cisco Virtual Wireless Controllers ebenfalls als kritisch ein. Es erlaubt einem Angreifer, aus der Ferne die Konfiguration eines Geräts zu verändern, was ebenfalls zu einer vollständigen Kompromittierung führt.
Die vierte Schwachstelle bewertet das Unternehmen mit “mittel”. Sie steckt auch in der Identity Services Engine 2.0 und früher und führt dazu, dass ein Administrator, der nur über eingeschränkte Rechte verfügt, Ressourcen aufrufen kann, die eigentlich Administratoren mit höheren Rechten vorbehalten sein sollten. Durch einen Fehler werden laut Cisco bestimmte Webressourcen für Administratoren mit unterschiedlichen Rechten nicht korrekt gefiltert. Im Gegensatz zu den anderen Anfälligkeiten muss ein Angreifer in diesem Fall über korrekte Anmeldedaten verfügen, um den Bug ausnutzen zu können.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Wo es früher auf Buchhalter, Schreiber und Boten ankam, geht es heute vor allem um…
Mit KI-Technologien lässt sich das Einkaufserlebnis personalisieren und der Service optimieren, sagt Gastautor Gabriel Frasconi…
Ein Großteil der weltweiten KI-Gelder fließt in den Finanzsektor. 2023 wurden in der Branche 87…
Die Übernahme des US-amerikanischen Anbieters Altair Engineering soll die Position im Markt für Computational Science…
Ein deutsch-französisches Projekt hat hybride Operationssäle entwickelt, die durch 5G-Netz und KI neue Anwendungen ermöglichen.
Unternehmen wissen oft nicht, welche Geräte in der Produktion eine IP-Adresse haben, warnt Peter Machat…
