Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco TelePresence IX5000 Series 8.0.3
Betroffene Plattformen:
Cisco TelePresence IX5000 Series
Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um sich den zugehörigen privaten Schlüssel zu dem
X.509-Zertifikat des Cisco TelePresence IX5000 Systems anzueignen und in der
Folge etwaig aufgefangene Kommunikation zwischen einer Management-Sitzung
und dem betroffenen Cisco TelePresence IX5000 System zu entschlüsseln oder
sich als dieses Gerät auszugeben. Cisco bestätigt die Schwachstelle für die
Version 8.0.3 und stellt ein Sicherheitsupdate zur Verfügung, um diese
Schwachstelle zu schließen.
Patch:
Cisco Vulnerability Alert Cisco-Alert-CVE-2015-6276
http://tools.cisco.com/security/center/viewAlert.x?alertId=40727
CVE-2015-6276: Schwachstelle in Cisco TelePresence IX5000 ermöglicht
Ausspähen von Zertifikatsschlüsseln
Eine Schwachstelle im Verzeichnis auf dem Web Management Interface von Cisco
TelePresence IX5000 Systemen besteht darin, dass das Zertifikatsverzeichnis
als öffentliche Ressource enthalten ist. Darin gespeichert ist auch das
X.509-Zertifikat, welches verwendet wird, um den HTTP-Kanal zum Web
Management Interface abzusichern. Dies ermöglicht einem Angreifer sowohl den
öffentlichen Teil des Zertifikates, als auch den dazugehörigen privaten
Schlüssel herunterzuladen und auf diese Weise Man-In-The-Middle
(MitM)-Angriffe vorzubereiten.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1371/
Cisco Vulnerability Alert Cisco-Alert-CVE-2015-6276:
http://tools.cisco.com/security/center/viewAlert.x?alertId=40727
Schwachstelle CVE-2015-6276 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6276
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
