2018-0940: Cisco Identity Services Engine (ISE): Mehrere Schwachstellen ermöglichen u. a. einen Denial-of-Service-Angriff

Historie:

Version 1 (2018-05-17 14:11): Neues Advisory
Version 2 (2018-06-12 12:44): Zur Behebung der Schwachstelle CVE-2018-0277 steht Cisco Identity Services Engine 2.1.0.474 Patch 7 für die Versionszweige 2.0.0, 2.0.1 und 2.1.0 zur Verfügung. Die bisherigen Patches für diese Versionszweige werden im Sicherheitshinweis nicht mehr erwähnt.

Betroffene Software

Netzwerk
Sicherheit

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle ausnutzen, um einen wiederholten Denial-of-Service (DoS)-Angriff auszuführen und dadurch ein Gerät in einen kompletten DoS-Zustand zu versetzen. Die Kritikalität dieser Schwachstelle wird von Cisco mit 'high' bewertet. Zwei weitere Schwachstellen ermöglichen einem solchen Angreifer die Ausführung von Cross-Site-Scripting (XSS)-Angriffen.

Cisco stellt zur Behebung der Denial-of-Service-Schwachstelle CVE-2018-0277 die folgenden Sicherheitsupdates bereit: Für den ISE-Versionszweig 1.4.0 und früher steht die Version 1.4.0.253-Patch12 als Sicherheitsupdate zur Verfügung, für den Zweig 2.0.0 steht die Version 2.0.0.306-Patch6, für den Zweig 2.0.1 steht die Version 2.0.1.130-Patch5, für den Zweig 2.1.0 steht die Version 2.1.0 Patch7 und für den Zweig 2.2.0 steht die Version 2.2.0.470-Patch5 bereit. Der Versionszweig 2.3.0 ist nicht von der Schwachstelle betroffen.

Für die Schwachstelle CVE-2018-0327 wird in der entsprechenden BugID CSCvg86743 der Status der Schwachstelle mit 'fixed' spezifiziert, es werden allerdings keine fixed Releases benannt. Die Version 2.1(0.905) wird als einzige Version unter den 'Known Affected Releases' aufgeführt.
In der BugID CSCvh11308 der Schwachstelle CVE-2018-0289 wird der Status der Schwachstelle mit 'open' spezifiziert, zusätzlich wird allerdings die Version 2.4(0.357) als bekannte fehlerkorrigierte Version aufgeführt. Explizit als von der Schwachstelle betroffen, sind die Versionen 2.3(0.298) und 2.4(0.223) benannt.

Schwachstellen:

CVE-2018-0277

Schwachstelle in Cisco Identity Services Engine ermöglicht Denial-of-Service-Angriff

CVE-2018-0289

Schwachstelle in Cisco Identity Services Engine ermöglicht Cross-Site-Scripting-Angriff

CVE-2018-0327