Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cisco Adaptive Security Appliance Software >= 9.4.1
Cisco Adaptive Security Appliance Software <= 9.5.1 Betroffene Plattformen: Cisco Adaptive Security Appliance Eine Schwachstelle in der Cisco Adaptive Security Appliance Software in den Versionen 9.4.1 bis 9.5.1 erlaubt einem entfernten, einfach authentifizierten Angreifer NDCE/RPC-Verkehr ohne die übliche Port-Beschränkung zu senden und somit Sicherheitsvorkehrungen umgehen. Cisco stellt Sicherheitsupdates zur Behebung dieser Schwachstelle zur Verfügung. Patch: Cisco Security Advisory cisco-sa-20160111-asa http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160111-asa

CVE-2015-6423: Schwachstelle in Cisco Adaptive Security Appliance ermöglicht
Umgehen von Sicherheitsvorkehrungen

Es existiert eine Schwachstelle im Distributed Computing Environment/Remote
Procedure Calls (DCE/RPC) Feature von Cisco Adaptive Security Appliance. Der
Fehler besteht in der falschen Programmierung einer internen
Zugangskontrollliste, die für den DCE/RPC-Verkehr verwendet wird. Der
DCE/RPC-Verkehr soll auf Port 135 beschränkt werden, was aber nicht geprüft
wird. Dadurch kann ein Angreifer Nicht-DCE/RPC-Verkehr zwischen zwei zur
DCE/RPC-Inspektion eingerichteten Hostsystemen versenden und so auch auf
Hostsysteme zugreifen, deren Zugang üblicherweise durch die Adaptive
Security Appliance beschränkt ist.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0045/

Cisco Security Advisory cisco-sa-20160111-asa:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160111-asa

Schwachstelle CVE-2015-6423 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6423

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.