Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 2 (08.11.22):
Cisco hat den Sicherheitshinweis cisco-sa-esasmawsa-vulns-YRuSW5mD
aktualisiert und gibt nun für den Versionszweig 14.2 von Cisco Secure
Email and Web Manager Software die Version 14.2.0 als Fix für die
Schwachstellen CVE-2022-20867 und CVE-2022-20868 an, womit alle dieses
Produkt betreffende Schwachstellen mit Cisco Secure Email and Web Manager
Software Version 14.2.0-217 behoben sein sollten.
Version 1 (03.11.22):
Neues Advisory
Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um
Informationen auszuspähen, Privilegien zu eskalieren, einen SQL-Injection-
Angriff durchzuführen und Root-Rechte zu erlangen sowie einen Denial-of-
Service (DoS)-Angriff und einen HTTP-Response-Splitting-Angriff
durchzuführen.
Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien
erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers.
Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere
Komponenten haben.
Cisco informiert über die Schwachstellen in Cisco Email Security Appliance
(ESA), Cisco Secure Email and Web Manager, Cisco Web Security Appliance
(WSA) und gibt an, dass die Cisco ESA Software Versionen 14.0.3-015,
14.2.1-015 und 14.3.0-023, die Cisco Secure Email and Web Manager Software
Versionen 14.2.1 und 14.3.0-115 sowie die Cisco WSA Software Versionen
12.0.5-011, 12.5.5, 14.0.2-012 und 14.5.1 als Sicherheitsupdates eingespielt
werden können, um die Schwachstellen zu beheben. Für die Cisco Secure Web
Appliance werden die Version 14.0.4 für Januar 2023 und die Version 14.5.1
für November 2022 als Sicherheitsupdates angekündigt, um die Schwachstelle
CVE-2022-20867 (bzw. CVE-2022-20868, unter ‘Details’ und ‘Vulnerable
Products’ werden die CVEs uneinheitlich verwendet) zu beheben.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2022-2459]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
