Kitische Sicherheitslücken in Cisco Policy Suite (CSP)

[English]Am 18. Juli 2018 hat Cisco 25 Sicherheitsupdates, darunter ein kritischer Patch für die Cisco Policy Suite, der ein undokumentiertes Passwort für das "root"-Konto entfernt, veröffentlicht. Hier einige Informationen für Administratoren, die die Cisco Policy Suite (CSP) in Unternehmensumgebungen einsetzen.

Das berichten Bleeping Computer und heise.de in separaten Artikeln, unter Berufung auf diese Cisco-Sicherheitswarnung und auf die in CVE-2018-0375 dokumentierte Schwachstelle.

Die Cisco Policy Suite (CSP)

Die Cisco Policy Suite ist eine komplexe Software, verfügbar für Mobile, WiFi und Broadband Network Gateways (BNG), die Cisco an Internet Service Provider (ISPs) und große Firmenkunden verkauft. Netzwerkadministratoren können in der Software Bandbreitennutzungsrichtlinien und Abonnementpläne für Kunden/Mitarbeiter einrichten.

Die Software ist mit netzwerk-intrusiven Funktionen ausgestattet, die es ihr ermöglichen, den Überblick über einzelne Benutzer, den Verkehr auf einzelnen Netzwerk-Layern zu behalten. Zudem lassen sich Zugriffsrichtlinien durchsetzen. Unter anderem wurden im Produkt bei internen Audits wohl Schwachstellen gefunden.

Kritische Sicherheitslücken in CSP

In der Cisco Policy Suite (CPS) gibt es vier, als kritisch eingestufte, Sicherheitslücken, die in diesem Dokument (Stand 18. Juli 2018) aufgeführt werden:

• CVE-2018-0374: Eine Schwachstelle in der Policy Builder-Datenbank der Cisco Policy Suite könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, sich direkt mit der Policy Builder-Datenbank zu verbinden.
• CVE-2018-0375: Eine Schwachstelle im Cluster Manager der Cisco Policy Suite könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, sich mit dem Root-Konto, das standardmäßig über statische Benutzer-Credentials verfügt, bei einem betroffenen System anzumelden.
• CVE-2018-0376: Eine Schwachstelle in der Policy Builder-Oberfläche der Cisco Policy Suite könnte einem nicht authentifizierten, entfernten Angreifer den Zugriff auf die Policy Builder-Oberfläche ermöglichen.CVE-2018-0377: Eine Schwachstelle in der Schnittstelle der Open Systems Gateway Initiative (OSGi) der Cisco Policy Suite könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, sich direkt mit der OSGi-Schnittstelle zu verbinden.

Die Liste der Schwachstellen enthält weitere Einträge, deren Wirkung als Hoch oder Mittel eingestuft wird. Über die Schwachstellen können Angreifer sich Zugriff auf die Cisco Policy Suite verschaffen und die in den CVEs beschriebenen Manipulationen vornehmen.

Details und ggf. von Cisco vorgeschlagene Workarounds (sofern bekannt) finden sich, wenn man über dieses Dokument den betreffenden Sicherheitsartikel aufruft. Dort ist auch angegeben, in welcher CSP-Version die betreffende Schwachstelle behoben wurde (z.B. 18.1.0, 18.2.0, 18.3.0). Kunden, die über eine gültige CPS-Produktlizenz verfügen, erhalten von Cicso ein Update zur Behebung der Sicherheitslücken. Die aktualisierte Versionen lassen sich im Software Download-Center (erfordert eine Anmeldung) abrufen. Bei Unklarheiten ist der Cisco-Support zu kontaktieren.