Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Identity Services Engine 2.1(0.229)
Betroffene Plattformen:
Cisco Identity Services Engine Appliances
Eine Schwachstelle in Cisco Identity Services Engine (ISE) ermöglicht die
Durchführung von Brute-Force-Angriffen gegen die Anmeldung per Passwort und
somit das Umgehen der Sicherheitsvorkehrung.
Cisco informiert über die Sicherheitsanfälligkeit in Cisco Identity Services
Engine und verweist bezüglich betroffener und gefixter Softwareversionen auf
Cisco Bug ID CSCve98518. Dort wird unter ‘Known Affected Releases’ die
Version 2.1(0.229) für Cisco Identity Services Engine (ISE) 3300 Series
Appliances genannt und der Status mit ‘Fixed’ angegeben, jedoch keine
Versionen als Sicherheitsupdates explizit aufgeführt. Ein offizieller
Workaround ist nicht bekannt.
Patch:
Cisco Security Advisory cisco-sa-20171115-ise (CVE-2017-12316)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171115-ise
CVE-2017-12316: Schwachstelle in Cisco Identity Services Engine ermöglicht
Umgehen von Sicherheitsvorkehrungen
In Cisco Identity Services Engine (ISE) existiert eine Schwachstelle
aufgrund unzureichender Durchsetzung der Limitierung fehlerhafter
Login-Versuche auf der Anmeldeseite des Gast-Portals. Ein Angreifer kann
diese Schwachstelle ausnutzen, um das Passwort eines Benutzers mit Hilfe der
Brute-Force-Methode zu kompromittieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2058/
Cisco Security Advisory cisco-sa-20171115-ise (CVE-2017-12316):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171115-ise
Schwachstelle CVE-2017-12316 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12316
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
