Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 2 (12.06.18):
Zur Behebung der Schwachstelle CVE-2018-0277 steht Cisco Identity Services
Engine 2.1.0.474 Patch 7 für die Versionszweige 2.0.0, 2.0.1 und 2.1.0 zur
Verfügung. Die bisherigen Patches für diese Versionszweige werden im
Sicherheitshinweis nicht mehr erwähnt.
Version 1 (17.05.18):
Neues Advisory

Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle
ausnutzen, um einen wiederholten Denial-of-Service (DoS)-Angriff auszuführen
und dadurch ein Gerät in einen kompletten DoS-Zustand zu versetzen. Die
Kritikalität dieser Schwachstelle wird von Cisco mit ‘high’ bewertet. Zwei
weitere Schwachstellen ermöglichen einem solchen Angreifer die Ausführung
von Cross-Site-Scripting (XSS)-Angriffen.

Cisco stellt zur Behebung der Denial-of-Service-Schwachstelle CVE-2018-0277
die folgenden Sicherheitsupdates bereit: Für den ISE-Versionszweig 1.4.0 und
früher steht die Version 1.4.0.253-Patch12 als Sicherheitsupdate zur
Verfügung, für den Zweig 2.0.0 steht die Version 2.0.0.306-Patch6, für den
Zweig 2.0.1 steht die Version 2.0.1.130-Patch5, für den Zweig 2.1.0 steht
die Version 2.1.0 Patch7 und für den Zweig 2.2.0 steht die Version
2.2.0.470-Patch5 bereit. Der Versionszweig 2.3.0 ist nicht von der
Schwachstelle betroffen.

Für die Schwachstelle CVE-2018-0327 wird in der entsprechenden BugID
CSCvg86743 der Status der Schwachstelle mit ‘fixed’ spezifiziert, es werden
allerdings keine fixed Releases benannt. Die Version 2.1(0.905) wird als
einzige Version unter den ‘Known Affected Releases’ aufgeführt.
In der BugID CSCvh11308 der Schwachstelle CVE-2018-0289 wird der Status der
Schwachstelle mit ‘open’ spezifiziert, zusätzlich wird allerdings die
Version 2.4(0.357) als bekannte fehlerkorrigierte Version aufgeführt.
Explizit als von der Schwachstelle betroffen, sind die Versionen 2.3(0.298)
und 2.4(0.223) benannt.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-0940]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html