Cisco warnt vor schwerwiegender Lücke in seiner Data-Center-Software

Cisco meldet eine kritische Sicherheitslücke im Cisco Data Center Network Manager (DCNM). Die Automatisierungssoftware wird verbreitet für Netzwerk-Hardware der Produktreihen MDS und Nexus verwendet. Bei internen Tests entdeckte das Unternehmen, dass ein Fehler in der REST API der Software es Angreifern erlaubt, die Authentifizierung zu umgehen und ein Gerät mit Administratorrechten zu steuern.

Die Schwachstelle mit der Kennung CVE-2020-3382 ähnelt einer Anfälligkeit in DCNM, die kürzlich ein externer Sicherheitsforscher gefunden hatte. Ein statischer Schlüssel erlaubte es Hackern, ein gültiges Session-Token zu generieren und über die REST API die vollständige Kontrolle über ein Gerät zu übernehmen.

Auch bei der neuen Sicherheitslücke ist ein statischer Schlüssel der Auslöser. „Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er den statischen Schlüssel verwendet, um ein gültiges Sitzungs-Token herzustellen. Eine erfolgreiche Attacke könnte es dem Angreifer ermöglichen, beliebige Aktionen über die REST API mit Administratorrechten durchzuführen“, teilte Cisco mit.

Ein Patch steht bereits zur Verfügung. Administratoren sollten die neueste Version von Cisco DCNM installieren. Cisco zufolge sind bisher keine aktiven Angriffe auf das Sicherheitsleck bekannt. Das Unternehmen weist außerdem darauf hin, dass es keine Behelfslösung und nur der Patch die Sicherheitslücke schließt.

Bewertet ist der Fehler mit 9,8 Punkten im zehnstufigen Common Vulnerability Scoring System (CVSS). Betroffen sind die DCNM-Versionen 11.0(1), 11.1(1), 11.2(1) und 11.3(1).

Eine weitere kritische Anfälligkeit steckt laut Cisco im Web Interface der SD-WAN vManage Software. Sie hat einen CVSS-Score von 9,9 Punkten. Hier ist es möglich, aus der Ferne ein System neu zu konfigurieren, abzuschalten oder auf vertrauliche Informationen zuzugreifen. Auslöser ist ein unzureichende Prüfung von Anmeldedaten.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Ein Kabel das Daten klaut?

Wenn das USB-Kabel mal wieder nicht aufzufinden ist, ist das Problem meist schnell gelöst. So…

2 Stunden ago

Mix an Software-Geschäftsmodellen wächst

Software-Anbieter setzen zunehmend auf Abos. Die Akzeptanz der Kunden für die neuen Geschäftsmodelle ist aber…

3 Stunden ago

Nutanix kooperiert mit Citrix

Nutanix und Citrix Systems, Inc. kündigen eine strategische Partnerschaft an für die hyperkonvergente Infrastruktur (HCI)…

4 Stunden ago

So richten Sie Richtlinien für Active Directory Passwörter ein

Administratoren wissen, dass schwache Passwörter ein Risiko darstellen. Mit der richtigen Policy für Active Directory…

6 Stunden ago

5 Wege, wie Sie dank verbesserter Sicherheit und intelligenter Konnektivität die Leistung Ihres Unternehmens steigern können

In einem Webinar mit dem Titel „5 Wege, wie Sie dank verbesserter Sicherheit und intelligenter…

1 Tag ago

Was macht Cloud-Security so komplex?

Cloud-Security funktioniert anders als On-Premises-Security und erfordert Cloud-spezifisches Expertenwissen. Um mögliche Gefahren durch Konfigurationsfehler zu…

1 Tag ago