In Ciscos Identity Services Engine und in diversen anderen Cisco-Produkten klaffen Sicherheitslücken. Im Fall der Identity Services Engine liegt das Problem in der Browser-basierten Management-Konsole: Angreifer können die Lecks auf verschiedene Arten ausnutzen und ohne Berechtigung auf Geräte zugreifen, zum Beispiel über einen manipulierten HTTP-Request. Es handelt sich primär um die Schwachstellen
CVE-2022-20961 und
CVE-2022-20956, die beide mit Risikograd hoch eingestuft sind.
Weitere mit hohem Risiko bewertete Sicherheitslücken, nämlich
CVE-2022-20951 und CVE-2022-20958, finden sich in der Cloud-Collaboration-Plattform Broadworks. Und die E-Mail Security Appliance leidet unter einer Schwachstellen mit mittlerem Risiko im Web-Interface,
CVE-2022-20960. Neben dem Einschleusen von Malware erlauben die Lecks einem Angreifer, Root-Rechte zu erlangen. Zwei weitere Schwachstellen,
CVE-2022-3602 und CVE-2022-3786, existieren in OpenSSL 3.x. Betroffen scheint laut
Cisco allerdings nur der IoT Field Network Director, ein Update ist indes erst für Mai 2023 geplant. Für die meisten anderen Lecks und Produkte hat Cisco schon Updates bereitgestellt.
(ubi)
