Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Spark 2017-08-15
Betroffene Plattformen:
Cisco Hardware
Ein lokaler, einfach authentisierter Angreifer kann eine Schwachstelle in
Cisco Spark ausnutzen, die Sicherheitsvorkehrung der Signaturprüfung umgehen
und ein nicht verifiziertes Upgrade-Paket installieren, um dadurch die
Integrität eines Systems komplett zu beeinträchtigen.
Cisco informiert über die Sicherheitsanfälligkeit in Cisco Spark Board und
verweist bezüglich betroffener und gefixter Softwareversionen auf die Cisco
Bug ID CSCvf84502. Dort wird unter ‘Known Affected Releases’ die Version
2017-08-15 für die Cisco Conference Director Series genannt und der Status
mit ‘Fixed’ angegeben, jedoch keine Versionen als Sicherheitsupdates
explizit aufgeführt. Cisco Conference Director Series ist End-of-Live (EOL).
Patch:
Cisco Security Advisory cisco-sa-20171115-spark (CVE-2017-12306)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171115-spark
CVE-2017-12306: Schwachstelle in Cisco Spark ermöglicht Umgehen von
Sicherheitsvorkehrungen
Im Upgrade-Prozess von Cisco Spark Board existiert eine Schwachstelle
aufgrund der unzureichenden Validierung von Upgrade-Paketen. Ein Angreifer
kann diese Schwachstelle ausnutzen, indem er den Upgrade-Prozess mit einem
Upgrade-Paket unter seiner Kontrolle versorgt, wodurch es ihm möglich ist
eine angepasste Firmware auf Spark Board zu installieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2057/
Cisco Security Advisory cisco-sa-20171115-spark (CVE-2017-12306):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171115-spark
Schwachstelle CVE-2017-12306 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12306
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
