2018-0452: Cisco StarOS: Zwei Schwachstellen ermöglichen u.a die Übernahme des Systems

Historie:

Version 1 (2018-03-08 15:54)

Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein lokaler, einfach authentifizierter Angreifer kann zwei Schwachstellen in Cisco StarOS ausnutzen, um über spezielle Kommandozeilenbefehle beliebigen Programmcode zur Ausführung zu bringen. Die Ausnutzung einer der Schwachstellen erfordert Administratorrechte (CVE-2018-0217), die andere Schwachstelle kann vermutlich ohne besondere Privilegien ausgenutzt werden, um Programmcode mit den Rechten des Benutzers 'root' zur Ausführung zu bringen und damit die volle Kontrolle über das zu System erlangen (CVE-2018-0224). Die numerische Bewertung der Schwachstellen durch den Hersteller berücksichtigt jeweils, dass zur Ausnutzung erweiterte Privilegien erforderlich sind. Dies ist im Widerspruch zur textuellen Bewertung von CVE-2018-0224, es ist aber davon auszugehen, dass der Angreifer hierbei aus der Gruppe der 'Context-level Administrative Users' kommen muss.

Cisco bestätigt die Schwachstellen und stellt Sicherheitsupdates zur Behebung der Schwachstellen bereit. Beide Schwachstellen wurden für die StarOS Version 21.3.0.67664 bestätigt. Die Schwachstelle CVE-2018-0217 wurde zusätzlich in Version 21.7.0, die Schwachstelle CVE-2018-0224 in Version 21.5.0 bemerkt. Als von den Schwachstellen nicht betroffen werden die Versionen 21.7.M0.68711, 21.7.D0.68717, 21.7.0.68846 und 21.7.0 (CVE-2018-0217) sowie 21.6.RU0.68455, 21.6.D0.68319, 21.6.A0.68321, 21.5.M0.68317, 21.5.C0.68318, 21.5.0.68363 und 21.5.0 (CVE-2018-0224) in den jeweiligen Cisco Bug IDs genannt. Die Angaben zu Version 21.5.0 und 21.7.0 als betroffen und nicht betroffen sind dabei widersprüchlich. Cisco empfiehlt zur Klärung solcher Fällen den Kontakt zum Cisco Technical Assistance Center (TAC).

Schwachstellen:

CVE-2018-0217

Schwachstelle in Cisco StarOS ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-0224

Schwachstelle in Cisco StarOS ermöglicht Übernahme des Systems

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.