Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 4 (16.12.21):
Cisco hat den Sicherheitshinweis erneut mehrfach aktualisiert und kündigt
nun unter anderem zusätzlich folgende Sicherheitsupdates an: Cisco
Identity Services Engine (ISE) 2.4 hotfix (17. Dezember 2021), 2.6 hotfix
(17. Dezember 2021), 2.7 hotfix (16. Dezember 2021), 3.0 hotfix (16.
Dezember 2021) und 3.1 hotfix (18. Dezember 2021) sowie Cisco Unified
Contact Center Express Version 12.5(1)SU1 ES03 für den 23. Dezember 2021.
Version 3 (15.12.21):
Cisco hat den Sicherheitshinweis mehrfach aktualisiert und kündigt nun
eine Reihe von Sicherheitsupdates an. Für Cisco Data Center Network
Manager (DCNM) werden die Versionen 12.0(2d), 12.0(1a), 11.5(3), 11.5(2),
11.5(1), 11.4(1), 11.3(1), 11.2(1), 11.1(1) und 11.0(1) jeweils für 23.
Dezember 2021 angekündigt. Die Cisco Evolved Programmable Network Manager
Versionen 5.1.3.1, 5.0.2.1 und 4.1.1.1 sollen jeweils am 22. Dezember 2021
bereitstehen. Für Cisco Nexus Dashboard (vormals: Cisco Application
Services Engine) wird Version 2.1.2 für den 23. Dezember 2021 avisiert.
Cisco Integrated Management Controller (IMC) Supervisor Version 2.3.2.1
soll am 22. Dezember 2021 veröffentlicht werden, ebenfalls Cisco UCS
Director Version 6.8.2.0. Für Cisco Emergency Responder werden COP File
für 17. Dezember 2021, Version 11.5 ES für den 10. Januar 2022 und 11.5
SU11 für den 3. Januar 2022 angekündigt. Cisco Finesse soll in den
Versionen 12.5(1)ES09 am 17. Dezember 2021 und 12.6(1)ES03 am 15. Dezember
2021 kommen, Cisco Unified Communications Manager / Cisco Unified
Communications Manager Session Management Edition und Cisco Unified
Communications Manager IM & Presence Service (vormals CUPS) COP File am
17. Dezember 2021, Version 11.5 ES am 10. Januar 2022 und 11.5 SU11 am 3.
Januar 2022. Für Cisco Unified Contact Center Enterprise werden die
Versionen 11.6, 12.0(1), 12.5(1) und 12.6(1) jeweils für den 23. Dezember
2021 sowie für Cisco Unity Connection wiederum COP File am 17. Dezember
2021, Version 11.5 ES am 10. Januar 2022 und 11.5 SU11 am 3. Januar 2022
bereitgestellt.
Version 2 (14.12.21):
Cisco hat den Sicherheitshinweis mehrfach aktualisiert. Als von der
Schwachstelle betroffen werden nun zusätzlich die Produkte Cisco Firepower
Threat Defense (FTD) managed by Firepower Device Manager (FDM), Cisco Data
Center Network Manager (DCNM), Cisco DNA Center, Cisco Emergency
Responder, Cisco Finesse, Cisco Unified Communications Manager / Cisco
Unified Communications Manager Session Management Edition, Cisco Unified
Communications Manager IM & Presence Service (vormals CUPS), Cisco Unified
Contact Center Express und Cisco Unity Connection aufgeführt. Für Cisco
Webex Meetings Server stehen mit den Releases CWMS-3.0MR4SP2 und
CWMS-4.0MR4SP2 in Kürze (14. Dezember 2021) erste Sicherheitsupdates zur
Verfügung.
Version 1 (13.12.21):
Neues Advisory
Ein Angreifer kann die Schwachstelle aus der Ferne ausnutzen, um beliebigen
Programmcode auszuführen, indem er durch gezielte Interaktion mit
Anwendungen, die auf die Drittanbieter-Komponente Log4j zurückgreifen,
speziell präparierte Log-Nachrichten oder Log-Nachrichten-Parameter auf
betroffene Systeme bringt. Die Schwachstelle ist als ‘Log4Shell’ oder
‘LogJam’ bekannt.
Für die Ausnutzung der Schwachstelle sind keine Privilegien erforderlich.
Die erfolgreiche Ausnutzung der Schwachstelle kann Einfluss auf andere
Komponenten haben.
Cisco informiert darüber, dass zahlreiche Produkte von der Schwachstelle
betroffen sind, unter anderem Cisco WebEx Meetings Server, Cisco Identity
Services Engine (ISE), Cisco Evolved Programmable Network Manager, Cisco
Integrated Management Controller (IMC) Supervisor, Cisco Nexus Dashboard
(ehemals: Application Services Engine), Cisco UCS Director, Cisco Unified
Contact Center Enterprise und Cisco WebEx Meetings (Cloud-basiert). Für
Cisco WebEx Meetings wurde die Schwachstelle behoben, für Cisco Nexus
Dashboard wird Version 2.1.2 als Sicherheitsupdate für den 7. Januar 2022
angekündigt.
Sicherheitsupdates stehen ansonsten noch nicht zur Verfügung und der
Hersteller untersucht eine Reihe weiterer Produkte auf deren Verwundbarkeit.
Der Sicherheitshinweis soll entsprechend in Kürze aktualisiert werden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2021-2585]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
