Kurzinfo CB-K18/0023 Update 11

3 Risiko: mittel
Information zu Schwachstellen und Sicherheitslücken
Titel: Cisco, Spectre, Meltdown: Mehrere Schwachstellen ermöglichen u.a. das Ausspähen von Informationen
Datum: 25.01.2018
Software: Cisco Unified Computing System < 3.1(2e), Cisco Unified Computing System < 3.2(2e), Cisco Wide Area Application Services (WAAS) 5.x, Cisco Software
Plattform: Cisco Cloud Services 1000V Router, Cisco Evolved Programmable Network Manager, Cisco Application Policy Infrastructure Controller , Cisco ASR 1000 Series Aggregation Services Routers (ASR1K), Cisco ASR 9000 Router, Cisco Catalyst 9400 Series Switches, Cisco 1000 Series Connected Grid Router, Cisco Hardware, Cisco Industrial Ethernet 4000 Series Switches, Cisco 800 Series Industrial Integrated Services Routers (IR800), Cisco 4000 Series Integrated Services Routers (ISR4K), Cisco Nexus 3000, Cisco Nexus 5000, Cisco Nexus 6000, Cisco Nexus 7000, Cisco Nexus 9000, Cisco Unified Computing System B-Series Blade Servers, Cisco Unified Computing System C-Series Servers, Cisco Wide Area Application Services (WAAS) Appliances
Auswirkung: Ausspähen von Informationen
Remoteangriff: Nein
Risiko: mittel
CVE Liste: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754
Bezug: Cisco Security Advisory cisco-sa-20180104-cpusidechannel
Revisions Historie
  • Version: 12

    Cisco informiert in der heutigen Aktualisierung des Sicherheitshinweises cisco-sa-20180104-cpusidechannel darüber, dass aktuell keine Produkte hinsichtlich der Schwachstellen untersucht werden. Als verwundbar wurden zwischenzeitlich der Cisco Evolved Programmable Network Manager, Cisco c800 Series Integrated Services Routers (IOx Feature) sowie Cisco UCS B-Series M2 Blade Server und Cisco UCS S3260 M4 Storage Server identifiziert. Neue Informationen zu Sicherheitsupdates wurden nicht veröffentlicht.

  • Version: 11

    Cisco identifiziert weitere Produkte als verwundbar gegenüber den Schwachstellen, unter anderem den Cisco (Virtual) Application Policy Infrastructure Controller (APIC) (siehe Bug ID CSCvh58549) sowie C880 M4 und M5 Server. Unter der Bug ID CSCvh58549 wird Cisco Application Policy Infrastructure Controller (APIC) Version 3.0(1k) als betroffen aufgeführt und der Status mit 'Fixed' angegeben. Unter 'Known Fixed Releases' wird auf 'Download Software for Cisco Application Policy Infrastructure Controller (APIC)' verwiesen. Für die Produkte UCS B-Series M4 Blade Servers und M5 Rack Servers wurden die Sicherheitsupdates zurückgezogen. Cisco empfiehlt auf die erneute Veröffentlichung der Sicherheitsupdates zu warten.

  • Version: 10

    Cisco hat die Summary Section des Sicherheitshinweises cisco-sa-20180104-cpusidechannel um Informationen zum Update unterliegender Betriebssysteme und Hypervisors in virtuellen Umgebungen ergänzt.

  • Version: 9

    Cisco gibt die Produktreihe Nexus 3500 Series Switches als verwundbar gegenüber den Schwachstellen an (Bug ID CSCvh32393). Außerdem stellt Cisco erstmals Sicherheitsupdates für das Cisco Unified Computing System in den Versionen 3.1(2e) und 3.2(2e) zur Behebung der Schwachstellen zur Verfügung. Die Sicherheitsupdates gelten für die Produkte der USC B-Series M5 Blade Servers sowie UCS C-Series M5 Rack Servers (Bug ID CSCvh31577). Cisco erläutert, dass ein kompletter Fix Updates des Betriebssystems und des Microcodes erfordert. Das UCS BIOS Update stellt das Microcode Update zur Verfügung. Für OS Updates sollen sich Kunden an den betreffenden OS Anbieter wenden.

  • Version: 8

    Cisco gibt weitere Cisco Nexus Switches (die Nexus 6000 und 7000 Series, Bug ID CSCvh32390) als verwundbar gegenüber 'Meltdown' und 'Spectre' an. Für diese Modelle werden noch keine 'Fixed Releases' genannt.

  • Version: 7

    Cisco gibt weitere Produkte aus der Cisco Aggregation Services Router (ASR)-Serie, Integrated Services Router (ISR)-Serie sowie Cloud Services Router (CSR)-Serie (Bug ID CSCvh32416: Versionen 16.5.1 und 16.7.1) bekannt, die verwundbar gegenüber 'Meltdown' und 'Spectre' sind. Für die Modelle werden noch keine 'Fixed Releases' genannt.

  • Version: 6

    Cisco informiert im neuesten Update zu den Schwachstellen 'Spectre' und 'Meltdown' über die Verwundbarkeit von Cisco 1000 Series Connected Grid Routers (gemäß Bug ID CSCvh32516: Version 15.6(3.1n)M)), Cisco Industrial Ethernet 4000 Series Switches (Bug ID CSCvh32594: Version 15.6(1.6)) und Cisco Catalyst 9400 Series Switches (gemäß Bug ID CSCvh44165: Version 16.7.1). Es werden noch keine 'Fixed Releases' genannt.

  • Version: 5

    Im neuesten Update von Cisco Systems zu den Schwachstellen 'Spectre' und 'Meltdown' bestätigt der Hersteller die Verwundbarkeit von Netzwerkswitches der Produktserien Cisco Nexus 3000, 5000 und 9000 (ACI Mode), von Cisco UCS E-Series M3 und M4 Servern sowie weiteren Geräten und Cloud-Produkten. Die angestrebte Veröffentlichung von Patches für einige Blade- und Rack-Server aus der Cisco UCS Produktgruppe wurde um einen Monat auf den 19.01.2018 vorgezogen.

  • Version: 4

    Cisco informiert darüber, dass auch die Cisco Wide Area Application Services (WAAS) Appliances WAVE-274, WAVE-294, WAVE-474, WAVE-574, WAVE-594 und WAVE-694 mit WAAS Software Version 5.x und früher betroffen sind, wenn diese ein nicht vertrauenswürdiges System in einer Virtual Blade einsetzen. Kunden werden angewiesen, falls möglich auf Version 6.x zu migrieren. Diese Version ist nicht betroffen, da Virtual Blade Geräte dort nicht unterstützt werden. Für Version 5.x stehen noch keine Sicherheitsupdates zur Verfügung.

  • Version: 3

    Cisco gibt weitere Produkte bekannt, die anfällig für die Schwachstellen sind. Darunter ist auch der ASR 9000 XR 64-bit Series Router. Allerdings gibt es hierfür noch kein Sicherheitsupdate und keine Information, wann Cisco ein solches geplant hat.

  • Version: 2

    Cisco gibt erstmals Produkte bekannt, die gegenüber den Schwachstellen verwundbar sind. Dazu gehören diverse Systeme der Unified Computing Service (UCS) B- und C-Serie sowie die 800 Industrial Integrated Service (ISR) Router. Updates für die Cisco UCS Server werden von Cisco zum 18. Februar 2018 angekündigt. Ausführliche Informationen zum Status der einzelnen Produkte und zugehörigen Sicherheitsupdates können dem Cisco Security Advisory entnommen werden (Referenz anbei).

  • Version: 1

    Neues Advisory

Beschreibung

Das Unified Computing System (UCS) von Cisco ist eine serverbasierte Produktlinie für Datencenter. Dazu gehören sowohl Hardwarekomponenten als auch Lösunge zur Virtualisierung und Verwaltung des Gesamtsystems.

Cisco Wide Area Application Services (WAAS) ist eine von der Firma Cisco entwickelte Technik zur Optimierung von TCP-basierten Anwendungen, die in Wide Area Network Umgebungen eingesetzt werden. Die Technologie wird hauptsächlich in den firmeneigenen Routern verwendet.

Von Cisco entwickelte Software für Cisco Hardware, die nicht näher spezifiziert ist.

Die unter dem Namen 'Spectre' und 'Meltdown' bekannten Mikroprozessor-Schwachstellen betreffen wahrscheinlich auch Produkte des Herstellers Cisco Systems. Der Hersteller informiert darüber, dass die Schwachstellen von einem lokalen, nicht authentisierten Angreifer ausgenutzt werden können, um Informationen auszuspähen, wenn es diesem gelingt beliebigen Programmcode auf betroffenen Geräten zur Ausführung zu bringen. Cisco bezeichnet die eigenen Produkte als 'geschlossene Systeme', weist aber darauf hin, dass die Kombination aus verwendeter CPU und Basisbetriebssystem in den eigenen Produkten möglicherweise Angriffe zulässt. Gleiches gilt für Cisco-Produkte, die als virtuelle Maschinen ausgeliefert und eingesetzt werden. Cisco hat die Untersuchungen zu den Schwachstellen begonnen und wird mit Updates auf den referenzierten Sicherheitshinweis über verwundbare Produkte und eventuelle Sicherheitsupdates informieren. Bisher sind keine verwundbaren Produkte bekannt.

  1. Schwachstelle CVE-2017-5715 (NVD)

  2. Schwachstelle CVE-2017-5753 (NVD)

  3. Schwachstelle CVE-2017-5754 (NVD)

  4. Cisco Security Advisory cisco-sa-20180104-cpusidechannel

CERT-Bund bietet personalisierte Warn- und Informationsdienste an.
Bitte registrieren Sie sich, um diese Angebote nutzen zu können.