Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Adaptive Security Appliance Software
Betroffene Plattformen:
Cisco
Netzwerk
Entfernte, nicht authentifizierte Angreifer können durch manipulierte Daten
die Funktion des Auto-Updates beeinflussen und ein Re-Load der ASA-Software
hervorrufen. Außerdem können solche Angreifer beliebige Einträge in der
Datenbank des Phone-Proxies anlegen.
Patch:
Schwachstelle CVE-2013-6682 (CISCO)
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-6682
Patch:
Schwachstelle CVE-2013-5568 (CISCO)
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-5568
CVE-2013-6682: Einfügen von beliebigen Einträgen in die Phone-Proxy
Datenbank
Die Schwachstelle existiert aufgrund der Akzeptanz nicht vertrauenswürdiger
Zertifikate. Indem ein entfernter, nicht authentifizierter Angreifer
geeignete Zertifikate benutzt, um sich gegenüber dem Phone-Proxy zu
authentifizieren, kann dieser in der Folge beliebige Einträge in die
Datenbank einfügen.
CVE-2013-5568: Schwachstelle in ASA-Auto-Update-Funktion ermöglicht
unautorisierten Re-Load
Die Schwachstelle in der Auto-Update-Funktion besteht in einer
unzureichenden Überprüfung der Eingabeparameter. Ein entfernter, nicht
authentifizierter Angreifer kann durch manipulierte Daten die Funktion des
Auto-Updates beeinflussen. Insbesondere kann hierdurch ein Re-Load der
ASA-Software hervorgerufen werden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1907/
Schwachstelle CVE-2013-6682 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-6682
Schwachstelle CVE-2013-5568 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-5568
Schwachstelle CVE-2013-5568 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-5568
Schwachstelle CVE-2013-6682 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6682
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
