2024-2553: Cisco IOS, IOS XE: Mehrere Schwachstellen ermöglichen u. a. einen Denial-of-Service-Angriff

Historie:

Version 1 (2024-09-26 16:36): Neues Advisory
Version 2 (2024-10-01 12:43): Der Hersteller Cisco weist in einer Aktualisierung des Sicherheitshinweises cisco-sa-vlan-dos-27Pur5RT darauf hin, dass nicht Catalyst 9500X Series Switches, sondern Catalyst 9500 High Performance Series Switches von der Schwachstelle CVE-2024-20434 betroffen sind.
Version 3 (2024-10-07 10:01): Der Hersteller Cisco weist in einer Aktualisierung des Sicherheitshinweises cisco-sa-vlan-dos-27Pur5RT darauf hin, dass Catalyst 9300LM Series Switches ebenfalls von der Schwachstelle CVE-2024-20434 betroffen sind.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen, einen Cross-Site-Request-Forgery (CSRF)-Angriff durchzuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Ein Angreifer kann zwei Schwachstellen im benachbarten Netzwerk ausnutzen, um Sicherheitsvorkehrungen zu umgehen und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann Einfluss auf andere Komponenten haben.

Cisco veröffentlicht die halbjährliche Cisco Event Response ERP-75169 für Cisco IOS und IOS XE und führt insgesamt 11 Schwachstellen auf. Sicherheitsupdates können mit Hilfe des 'Cisco IOS Software Checker' (siehe Referenzen) identifiziert werden, wenn diese nicht im Abschnitt 'Fixed Software' der einzelnen Sicherheitshinweise des Herstellers direkt genannt werden. Zudem stehen für mehrere Schwachstellen Workarounds bereit, welche im Abschnitt 'Workarounds' in den jeweiligen Sicherheitshinweisen zu finden sind.

Schwachstellen:

CVE-2024-20414

Schwachstelle in Cisco IOS und Cisco IOS XE ermöglicht Cross-Site-Request-Forgery-Angriff