Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Expressway Software >= X8.1
Cisco TelePresence Video Communication Server >= X8.1
Betroffene Plattformen:
Cisco TelePresence Video Communication Server
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen und auf Cisco VCS und Expressway Systemen den
Sicherheitsmechanismus der Trusted Certificate Authentication umgehen,
wodurch er in der Folge auf interne HTTP-System-Ressourcen zugreifen kann.
Cisco bestätigt diese Schwachstelle für Cisco TelePresence Video
Communication Server (VCS) und Cisco Expressway Series mit Software
Versionen X8.1 und später und stellt Sicherheitsupdates bereit.
Patch:
Cisco Security Advisory cisco-sa-20160706-vcs (Cisco-Alert-CVE-2016-1444)
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160706-vcs
CVE-2016-1444: Schwachstelle im Mobile and Remote Access (MRA) Feature
ermöglicht Umgehen von Sicherheitsvorkehrungen
In der Zertifikatsverwaltung und -prüfung für das Mobile and Remote Access
(MRA) Feature für Cisco Expressway Series und TelePresence Video
Communication Server (VCS) existiert eine Schwachstelle aufgrund des Fehlens
einer ordentlichen Eingabeüberprüfung von vertrauten Zertifikaten. Ein
Angreifer kann diese Schwachstelle ausnutzen, indem er sich mit einem Gerät
mittels eines vertrauten Zertifikates verbindet. Dadurch kann er die
Authentisierung komplett umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1093/
Cisco Security Advisory cisco-sa-20160706-vcs (Cisco-Alert-CVE-2016-1444):
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160706-vcs
Schwachstelle CVE-2016-1444 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1444
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
