Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cisco FireSIGHT System Software 6.0.0
Cisco FireSIGHT System Software 6.0.1

Betroffene Plattformen:

Cisco FireSIGHT Management Center

Es existieren mehrere Schwachstellen im Cisco FireSIGHT Management Center
der Cisco FireSIGHT System Software, die unter der ID CVE-2016-1293
zusammengefasst sind und einem entfernten, nicht authentifizierten Angreifer
über eine Parameterinjektion Cross-Site-Scripting-Angriffe ermöglichen.

Cisco bestätigt die Betroffenheit der Versionen 6.0.0 und 6.0.1 und stellt
Softwareupdates zur Behebung der Schwachstellen bereit.

Darüber hinaus existiert eine Schwachstelle, die einem entfernten, nicht
authentifizierten Angreifer einen Cross-Site-Scripting-Angriff über ein
speziell präpariertes Cookie ermöglicht. Cisco benennt die Version 6.0.1 der
Cisco FireSIGHT System Software als verwundbar, stellt hierfür allerdings
noch kein Sicherheitsupdate zur Verfügung.

Patch:

Cisco Security Advisory cisco-sa-20160115-FireSIGHT

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160115-FireSIGHT

CVE-2016-1294: Schwachstelle in Cisco FireSIGHT Management Center ermöglicht
Cross-Site-Scripting-Angriff

Im Cisco FireSIGHT Management Center werden beim Verarbeiten von Cookies
nicht näher spezifizierte Attribute falsch behandelt, so dass über ein
speziell präpariertes Cookie im Browser eines Benutzers beliebiger
Programmcode im Kontext der betroffenen Seite ausgeführt werden kann. Ein
entfernter, nicht authentifizierter Angreifer kann so einen
Document-Object-Model-basierten (DOM-basierten) Cross-Site-Scripting-Angriff
(XSS) ausführen.

CVE-2016-1293: Schwachstellen im Cisco FireSIGHT Management Center
ermöglichen Cross-Site-Scripting-Angriffe

Das Web-Interface des Cisco FireSIGHT Management Center ist durch mehrere
nicht näher beschriebene Schwachstellen im Zusammenhang mit der Prüfung und
Bereinigung von Eingabeparametern verwundbar. Ein entfernter, nicht
authentifizierter Angreifer kann in nicht spezifizierte, angreifbare
Parameter Schadcode injizieren und mit Hilfe eines Benutzers des
Web-Interfaces einen Cross-Site-Scripting-Angriff (XSS) ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0083/

Cisco Security Advisory cisco-sa-20160115-FireSIGHT:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160115-FireSIGHT

Cisco Security Advisory cisco-sa-20160115-fmc1:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160115-fmc1

Schwachstelle CVE-2016-1293 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1293

Schwachstelle CVE-2016-1294 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1294

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.