SD-WAN-Manager: Cisco warnt vor Angriffen auf Zero-Day-Lücke
Cisco hat eine Sicherheitswarnung(öffnet im neuen Fenster) für den Catalyst SD-WAN-Manager veröffentlicht. Cyberkriminelle nutzen eine Zero-Day-Lücke aus, die es Unbefugten erlaubt, aus der Ferne Zugriff auf ungepatchte Systeme zu erhalten – und zwar mit den Rechten eines Administrators.
Entdeckt wurde die Schwachstelle von Cisco Psirt im vergangenen Monat. Seit wann der Fehler ausgenutzt wird, lässt Cisco offen. Inzwischen steht ein Sicherheitsupdate zum Download bereit. Das Unternehmen empfiehlt, dass Kunden dringend auf die fehlerbereinigte Software umsteigen, um das Loch im SD‑WAN-Manager zu stopfen.
Kompromittierung per manipulierter HTTP-Anfrage
Die Anfälligkeit steckt in der API-basierten Sitzungsverwaltung des Catalyst SD‑WAN-Managers. Auslöser ist ein fehlerhaftes URI-Encoding bei HTTP-Anfragen. Anfragen können laut Cisco eine Authentifizierungsregel umgehen, die eigentlich den Zugang zu einem speziellen API-Endpunkt einschränken soll. "Ein Angreifer könnte diese Sicherheitslücke ausnutzen, indem er eine manipulierte HTTP-Anfrage an die API des betroffenen Systems sendet. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, die Authentifizierung zu umgehen und als Administrator Zugriff auf die API zu erlangen", schreibt Cisco in seiner Sicherheitsmeldung.
Betroffen ist der Catalyst SD-WAN-Manager unabhängig von der Systemkonfiguration in den Versionen 20.9, 20.12, 20.15, 20.18, 26.1 und 26.2 und früher. Der Fehler wurde in den Releases 26.2.1, 26.1.2.1, 20.18.4.1, 20.15.6.1, 20.12.8.2 und 20.9.10.1 behoben. Darüber hinaus wurde Cisco SD-WAN-Cloud auf die Version 20.15.605 aktualisiert. Nutzer der von Cisco verwalteten Lösung müssen jedoch selbst keine Maßnahmen ergreifen.
In seinem Advisory nennt Cisco auch mögliche Anzeichen für eine Kompromittierung eines ungepatchten Systems. Kunden sollen in der Datei "vmanage-server.log" nach bestimmten Einträgen von unbekannten oder nicht autorisierten IP-Adressen suchen, vor allem wenn damit Nutzernamen mit der Zeichenfolge "viptela-reserved-" aufgerufen werden. Einen Workaround, um Systeme ohne Patch vor Angriffen auf die Zero-Day-Lücke schützen, gibt es Cisco zufolge nicht.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.