CERT-FI haavoittuvuustiedote 041/2006

13.7.2006

Haavoittuvuuksia Cisco -ohjelmistoissa


Kohde:	- verkon aktiivilaitteet	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Cisco Systems on julkaissut kolme tietoturvapäivitystä. Päivityksistä osa on kriittisiä.

Ensimmäinen päivitys koskee Cisco IOS verkkolaitekäyttöjärjestelmiä. Joidenkin käyttöjärjestelmäversioiden oletusasetukset sallivat tunnistautumattoman käyttäjän muokata verkkolaitteen asetuksia pääkäyttäjän oikeuksilla. Ongelma esiintyy Cisco 800 -sarjan ja Cisco SOHO -sarjan verkkolaitteissa.

Toinen päivitys koskee Ciscon tunkeutumisenestojärjestelmää. Haavoittuvuus liittyy järjestelmän tapaan käsitellä tietyllä tavalla muokattuja paketteja. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista aiheuttaa järjestelmässä palvelunestohyökkäys.

Kolmas päivitys koskee Cisco Unified Callmanager -ohjelmistoa. Ohjelmistosta on löydetty useita vakavia haavoittuvuuksia, joita hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.