CISCO FAILLES DE SÉCURITÉ DANS HYPERFLEX

Cisco a publié des correctifs pour un ensemble de vulnérabilités de sécurité affectant divers produits. Cela comprend 16 défauts d’évaluation de gravité moyenne et élevée. Deux de ces vulnérabilités affectaient le logiciel Cisco HyperFlex qui pourrait permettre l'accès root à un attaquant. Heureusement, aucune vulnérabilité critique n'a été signalée. Cisco avertit les utilisateurs de s'assurer que les mises à jour des périphériques utilisent les dernières versions corrigées.

Plusieurs vulnérabilités corrigées dans Cisco HyperFlex

Cette semaine, Cisco a déployé des correctifs pour de nombreuses failles de sécurité affectant Cisco Hyperflex. Celles-ci incluent deux vulnérabilités très graves pouvant permettre à un attaquant d'obtenir un accès root.

La première de ces vulnérabilités CVE-2018-15380 se trouvait dans le gestionnaire de services en cluster du logiciel. Comme décrit par Cisco dans son avis ,

«La vulnérabilité est due à une validation d'entrée insuffisante. Un attaquant pourrait exploiter cette vulnérabilité en se connectant au gestionnaire de service de cluster et en injectant des commandes dans le processus lié. Un exploit réussi pourrait permettre à l'attaquant d'exécuter des commandes sur l'hôte affecté en tant qu'utilisateur root. ”

Tandis que l’autre vulnérabilité de gravité élevée CVE-2019-1664 existait dans le service hxterm. A propos de cela, décrit Cisco ,

«La vulnérabilité est due à des contrôles d’authentification insuffisants. Un attaquant pourrait exploiter cette vulnérabilité en se connectant au service hxterm en tant qu'utilisateur local non privilégié. Un exploit réussi pourrait permettre à l’attaquant d’obtenir un accès root à tous les nœuds membres du cluster HyperFlex. ”

Cisco a corrigé ces deux vulnérabilités dans la dernière version de Cisco HyperFlex version 3.5 (2a).

En outre, Cisco a également corrigé trois failles de gravité moyenne dans le même logiciel. Celles-ci incluent une vulnérabilité de script intersite ( CVE-2019-1665 ), une vulnérabilité d'extraction de statistiques non authentifiées ( CVE-2019-1666 ) et une vulnérabilité d'écriture de statistiques arbitraires ( CVE-2019-1667 ).

Problèmes corrigés dans d'autres produits Cisco

Outre les cinq vulnérabilités ci-dessus, Cisco a également publié des correctifs pour 11 autres bogues de sécurité. Celles-ci incluent une vulnérabilité d'injection de contenu dans Cisco Webex Meetings Online rapportée par Prasenjit Kanti Paul. Cette vulnérabilité CVE-2019-1680 de gravité moyenne existait en raison d'une validation d'entrée incorrecte. En cas d’exploitation, il pourrait laisser un attaquant injecter du texte arbitraire dans le navigateur du périphérique cible. Il a prétendument affecté toutes les versions de Cisco Webex Meetings Online antérieures à v.1.3.42.

Une autre faille notable ( CVE-2019-1683 ) rapportée par Jan Dubový a affecté le composant de traitement des certificats de certains téléphones IP Cisco.

En outre, Cisco a corrigé trois vulnérabilités de gravité élevée affectant Network Convergence System série 1000 ( CVE-2019-1681 ), le logiciel Cisco Prime Collaboration Assurance (PCA) ( CVE-2019-1662 ) et Cisco Prime Infrastructure (IP) ( CVE-2019). -1659).

Les autres produits recevant des correctifs incluent les équipes Webex pour iOS , le directeur de réseau de terrain IoT , le logiciel Firepower Threat Defense , les séries Firepower 9000 , Cisco Unity Connection et les téléphones IP Cisco 7800 et 8800 .

Les vendeurs ne confirment aucune exploitation active de ces bugs. Les utilisateurs de tous ces produits doivent veiller à mettre à jour leurs systèmes pour rester protégés des menaces potentielles à la sécurité.

Source : latesthackingnews