Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 15 (06.02.18):
Cisco hat erneut die List der von den Schwachstellen betroffenen Produkte
erweitert und führt jetzt auch Cisco NCS 1000, 5000 und 5500 Series
Routers als verwundbar auf. Sicherheitsupdates sind zum jetzigen Zeitpunkt
weder verfügbar noch sind sie konkret angekündigt.
Version 14 (31.01.18):
Cisco informiert darüber, dass Industrial Ethernet 4000 Series Switches
entgegen den bisherigen Informationen nicht anfällig für die
Schwachstellen sind.
Version 13 (29.01.18):
Cisco informiert über weitere Produkte, welche als anfällig gegenüber den
Schwachstellen identifiziert wurden. Darunter befinden sich die Cisco
Catalyst 9300 und 9500 Series Switches. Neue Informationen zu
Sicherheitsupdates wurden nicht veröffentlicht.
Version 12 (25.01.18):
Cisco informiert in der heutigen Aktualisierung des Sicherheitshinweises
cisco-sa-20180104-cpusidechannel darüber, dass aktuell keine Produkte
hinsichtlich der Schwachstellen untersucht werden. Als verwundbar wurden
zwischenzeitlich der Cisco Evolved Programmable Network Manager, Cisco
c800 Series Integrated Services Routers (IOx Feature) sowie Cisco UCS
B-Series M2 Blade Server und Cisco UCS S3260 M4 Storage Server
identifiziert. Neue Informationen zu Sicherheitsupdates wurden nicht
veröffentlicht.
Version 11 (23.01.18):
Cisco identifiziert weitere Produkte als verwundbar gegenüber den
Schwachstellen, unter anderem den Cisco (Virtual) Application Policy
Infrastructure Controller (APIC) (siehe Bug ID CSCvh58549) sowie C880 M4
und M5 Server. Unter der Bug ID CSCvh58549 wird Cisco Application Policy
Infrastructure Controller (APIC) Version 3.0(1k) als betroffen aufgeführt
und der Status mit ‘Fixed’ angegeben. Unter ‘Known Fixed Releases’ wird
auf ‘Download Software for Cisco Application Policy Infrastructure
Controller (APIC)’ verwiesen. Für die Produkte UCS B-Series M4 Blade
Servers und M5 Rack Servers wurden die Sicherheitsupdates zurückgezogen.
Cisco empfiehlt auf die erneute Veröffentlichung der Sicherheitsupdates zu
warten.
Version 10 (19.01.18):
Cisco hat die Summary Section des Sicherheitshinweises cisco-
sa-20180104-cpusidechannel um Informationen zum Update unterliegender
Betriebssysteme und Hypervisors in virtuellen Umgebungen ergänzt.
Version 9 (18.01.18):
Cisco gibt die Produktreihe Nexus 3500 Series Switches als verwundbar
gegenüber den Schwachstellen an (Bug ID CSCvh32393). Außerdem stellt Cisco
erstmals Sicherheitsupdates für das Cisco Unified Computing System in den
Versionen 3.1(2e) und 3.2(2e) zur Behebung der Schwachstellen zur
Verfügung. Die Sicherheitsupdates gelten für die Produkte der USC B-Series
M5 Blade Servers sowie UCS C-Series M5 Rack Servers (Bug ID CSCvh31577).
Cisco erläutert, dass ein kompletter Fix Updates des Betriebssystems und
des Microcodes erfordert. Das UCS BIOS Update stellt das Microcode Update
zur Verfügung. Für OS Updates sollen sich Kunden an den betreffenden OS
Anbieter wenden.
Version 8 (16.01.18):
Cisco gibt weitere Cisco Nexus Switches (die Nexus 6000 und 7000 Series,
Bug ID CSCvh32390) als verwundbar gegenüber ‘Meltdown’ und ‘Spectre’ an.
Für diese Modelle werden noch keine ‘Fixed Releases’ genannt.
Version 7 (15.01.18):
Cisco gibt weitere Produkte aus der Cisco Aggregation Services Router
(ASR)-Serie, Integrated Services Router (ISR)-Serie sowie Cloud Services
Router (CSR)-Serie (Bug ID CSCvh32416: Versionen 16.5.1 und 16.7.1)
bekannt, die verwundbar gegenüber ‘Meltdown’ und ‘Spectre’ sind. Für die
Modelle werden noch keine ‘Fixed Releases’ genannt.
Version 6 (12.01.18):
Cisco informiert im neuesten Update zu den Schwachstellen ‘Spectre’ und
‘Meltdown’ über die Verwundbarkeit von Cisco 1000 Series Connected Grid
Routers (gemäß Bug ID CSCvh32516: Version 15.6(3.1n)M)), Cisco Industrial
Ethernet 4000 Series Switches (Bug ID CSCvh32594: Version 15.6(1.6)) und
Cisco Catalyst 9400 Series Switches (gemäß Bug ID CSCvh44165: Version
16.7.1). Es werden noch keine ‘Fixed Releases’ genannt.
Version 5 (11.01.18):
Im neuesten Update von Cisco Systems zu den Schwachstellen ‘Spectre’ und
‘Meltdown’ bestätigt der Hersteller die Verwundbarkeit von
Netzwerkswitches der Produktserien Cisco Nexus 3000, 5000 und 9000 (ACI
Mode), von Cisco UCS E-Series M3 und M4 Servern sowie weiteren Geräten und
Cloud-Produkten. Die angestrebte Veröffentlichung von Patches für einige
Blade- und Rack-Server aus der Cisco UCS Produktgruppe wurde um einen
Monat auf den 19.01.2018 vorgezogen.
Version 4 (10.01.18):
Cisco informiert darüber, dass auch die Cisco Wide Area Application
Services (WAAS) Appliances WAVE-274, WAVE-294, WAVE-474, WAVE-574,
WAVE-594 und WAVE-694 mit WAAS Software Version 5.x und früher betroffen
sind, wenn diese ein nicht vertrauenswürdiges System in einer Virtual
Blade einsetzen. Kunden werden angewiesen, falls möglich auf Version 6.x
zu migrieren. Diese Version ist nicht betroffen, da Virtual Blade Geräte
dort nicht unterstützt werden. Für Version 5.x stehen noch keine
Sicherheitsupdates zur Verfügung.
Version 3 (09.01.18):
Cisco gibt weitere Produkte bekannt, die anfällig für die Schwachstellen
sind. Darunter ist auch der ASR 9000 XR 64-bit Series Router. Allerdings
gibt es hierfür noch kein Sicherheitsupdate und keine Information, wann
Cisco ein solches geplant hat.
Version 2 (08.01.18):
Cisco gibt erstmals Produkte bekannt, die gegenüber den Schwachstellen
verwundbar sind. Dazu gehören diverse Systeme der Unified Computing
Service (UCS) B- und C-Serie sowie die 800 Industrial Integrated Service
(ISR) Router. Updates für die Cisco UCS Server werden von Cisco zum 18.
Februar 2018 angekündigt. Ausführliche Informationen zum Status der
einzelnen Produkte und zugehörigen Sicherheitsupdates können dem Cisco
Security Advisory entnommen werden (Referenz anbei).
Version 1 (05.01.18):
Neues Advisory
Die unter dem Namen ‘Spectre’ und ‘Meltdown’ bekannten Mikroprozessor-
Schwachstellen betreffen wahrscheinlich auch Produkte des Herstellers Cisco
Systems. Der Hersteller informiert darüber, dass die Schwachstellen von
einem lokalen, nicht authentisierten Angreifer ausgenutzt werden können, um
Informationen auszuspähen, wenn es diesem gelingt beliebigen Programmcode
auf betroffenen Geräten zur Ausführung zu bringen. Cisco bezeichnet die
eigenen Produkte als ‘geschlossene Systeme’, weist aber darauf hin, dass die
Kombination aus verwendeter CPU und Basisbetriebssystem in den eigenen
Produkten möglicherweise Angriffe zulässt. Gleiches gilt für Cisco-Produkte,
die als virtuelle Maschinen ausgeliefert und eingesetzt werden.
Cisco hat die Untersuchungen zu den Schwachstellen begonnen und wird mit
Updates auf den referenzierten Sicherheitshinweis über verwundbare Produkte
und eventuelle Sicherheitsupdates informieren. Bisher sind keine
verwundbaren Produkte bekannt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-0031]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
