Cisco deckt schwere Sicherheitslücke auf - in zahlreichen eigenen Geräten
In vielen Systemen von Cisco mit Integrated Management Controller (IMC) gibt es Schwachstellen, warnt der Hersteller. Patches sind bereits verfügbar.
Cisco hat eine neue, hochgradig gefährliche Schwachstelle bekannt gegeben und gleichzeitig einen Patch für das Problem veröffentlicht, das den in vielen Cisco-Geräten verwendeten Cisco Integrated Management Controller (IMC) betrifft. Die Gefährlichkeit der Schwachstelle mit der Kennung CVE-2024-20295 wurde mit einem Schweregrad von 8,8 von 10,0 als "hoch" eingestuft.
Die Schwachstelle in der Befehlszeilenschnittstelle von Ciscos IMC "könnte es einem lokalen Angreifer ermöglichen, Befehlsinjektionsangriffe auf das zugrundeliegende Betriebssystem durchzuführen und seine Rechte auf Root zu zu erhöhen", hatte Cisco in seinem Advisory am Mittwoch dieser Woche geschrieben. Um das tun zu können, müsse der Angreifer jedoch Read-Only oder höhere Zugriffsrechte haben.
Zu den betroffenen Geräten gehören laut Cisco die Rack-Server der UCS C-Serie (im "Standalone-Modus") und die Server der UCS E-Serie sowie die Enterprise Network Compute Systems der 5000er Serie und die Catalyst 8300 Series Edge uCPE. Kunden müssen die verfügbaren Patches anwenden, um sich gegen das Problem zu schützen, da es bisher offenbar keine Umgehungslösungen gibt.
Eine lange Liste weiterer Produkte könnte ebenfalls betroffen sein, wenn sie "auf einer vorkonfigurierten Version eines Cisco UCS C-Series Servers basieren und den Zugriff auf die Cisco IMC CLI ermöglichen", so das Unternehmen. Nicht betroffen sind laut Cisco die Blade-Server der UCS B-Serie, die Rack-Server der UCS C-Serie (verwaltet vom Cisco UCS Manager), die Storage-Server der UCS S-Serie und die modularen Systeme der UCS X-Serie.
Der schnellen Eingreiftruppe bei Cisco, dem PSIRT-Team (Product Security Incident Response)Team, sei bekannt, dass es einen Proof-of-Concept-Exploit-Code für die Sicherheitslücke gibt. "PSIRT ist jedoch keine böswillige Nutzung der in dieser Meldung beschriebenen Schwachstelle bekannt", so das Unternehmen.