Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco RV220W Wireless Network Security Firewall Firmware < 1.0.7.2 Betroffene Plattformen: Cisco RV220W Wireless Network Security Firewall Eine Schwachstelle in Cisco RV220W Wireless Network Security Firewall Geräten ermöglicht einem entfernten, nicht authentisierten Angreifer Administratorrechte zu erlangen. Cisco bestätigt die Schwachstelle für die Firmware-Versionen vor Version 1.0.7.2 und stellt ein Sicherheitsupdate zur Verfügung. Zugleich ist ein Workaround verfügbar. Workaround: Als Workaround schlägt Cisco vor, dass Administratoren die Fernadministration auf betroffenen Geräten abschalten oder beschränken. Patch: Cisco Security Advisory cisco-sa-20160127-rv220 http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160127-rv220
CVE-2015-6319: Schwachstelle in Cisco RV220W ermöglicht das Erlangen von
Administratorrechten
Eine Schwachstelle in der Web-basierten Managementschnittstelle von Cisco
RV220W Wireless Network Security Firewall Geräten basiert auf einer
unzureichenden Überprüfung von Benutzereingaben in den Headern von
HTTP-Anfragen. Dadurch ist es möglich, bösartige SQL-Befehle in speziell
präparierten HTTP-Anfragen einzubringen. Falls die Fernadministration auf
einem betroffenen Gerät eingeschaltet ist, kann dieser SQL-Code von der
Managementschnittstelle zur Bestimmung von Benutzerprivilegien ausgeführt
werden.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0160/
Cisco Security Advisory cisco-sa-20160127-rv220:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160127-rv220
Schwachstelle CVE-2015-6319 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6319
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
