Cisco meldt NX-OS Software CLI Command Injection kwetsbaarheid

Cisco meldt: 'Deze kwetsbaarheid is te wijten aan onvoldoende validatie van argumenten die worden doorgegeven aan specifieke configuratie-CLI-opdrachten. Een aanvaller kan deze kwetsbaarheid misbruiken door gemanipuleerde invoer op te nemen als argument van een getroffen configuratie-CLI-opdracht. Een succesvolle exploit kan de aanvaller in staat stellen willekeurige opdrachten uit te voeren op het onderliggende besturingssysteem met de privileges van root .

Let op: om deze kwetsbaarheid op een Cisco NX-OS-apparaat succesvol te kunnen misbruiken, moet een aanvaller over beheerdersreferenties beschikken .

Cisco heeft software-updates uitgebracht voor bepaalde Cisco NX-OS hardwareplatforms en zal oplossingen blijven uitbrengen zodra deze beschikbaar zijn. Er zijn geen tijdelijke oplossingen die deze kwetsbaarheid aanpakken.

Dit advies is hier beschikbaar.

Kwetsbare producten

Op het moment van publicatie had deze kwetsbaarheid invloed op de volgende Cisco-producten als deze een kwetsbare versie van Cisco NX-OS Software draaiden:

1. Voor Cisco NX-OS Software-releases die worden uitgevoerd op Cisco Nexus 3000 Series Switches en Cisco Nexus 9000 Series Switches in standalone NX-OS-modus, verleent de software geen extra privileges vanwege de beschikbaarheid van de bash-shell- functie. Cisco NX-OS Software-releases 9.3(5) en later worden niet beïnvloed door deze kwetsbaarheid, met uitzondering van de volgende Cisco-platforms:

2. Voor Cisco NX-OS-softwareversies 8.1(0) en later die op Cisco Nexus 7000 Series Switches worden uitgevoerd, verleent de software geen extra rechten vanwege de beschikbaarheid van de bash-shellfunctie .

Zie het gedeelte Details van dit advies voor meer informatie over deze kwetsbaarheid .

Voor informatie over welke Cisco-softwareversies kwetsbaar zijn, raadpleegt u het gedeelte Gerepareerde software van dit advies.

Producten waarvan is bevestigd dat ze niet kwetsbaar zijn

Alleen producten die in het gedeelte Kwetsbare producten van dit advies worden vermeld, zijn voor zover bekend door deze kwetsbaarheid getroffen.

Cisco heeft bevestigd dat deze kwetsbaarheid geen invloed heeft op de volgende Cisco-producten:

• MDS 9000-serie meerlaagse schakelaars ( CSCwj97007 )
• Nexus 3000-serie switches ( CSCwj97009 ) ¹
• Nexus 5500-platformswitches ( CSCwj97011 )
• Nexus 5600-platformswitches ( CSCwj97011 )
• Nexus 6000-serie switches ( CSCwj97011 )
• Nexus 7000-serie switches ( CSCwj94682 ) ²
• Nexus 9000-serie switches in stand-alone NX-OS-modus ( CSCwj97009 ) ¹
• Nexus 3000-platformen:
• Nexus 9000-platformen:
• N3K-C3264C-E
• N3K-C3172PQ-10GE
• N3K-C3172PQ-10GE-XL
• N3K-C3172TQ-10GT
• N3K-C3548P-10GX
• N9K-C92348GC-X (opgelost in Cisco NX-OS Software releases 10.4.3 en later)
• Software voor adaptieve beveiligingsapparaten (ASA)
• Firepower 1000-serie
• Firepower 2100-serie
• Firepower 4100-serie
• Firepower 9300 beveiligingsapparaten
• Firepower Threat Defense (FTD)-software
• Veilige firewall 3100-serie
• Veilige firewall 4200-serie
• Software voor Secure Firewall Management Center (FMC)
• UCS 6200-serie Fabric Interconnects
• UCS 6300-serie Fabric Interconnects
• UCS 6400-serie Fabric Interconnects
• UCS 6500-serie Fabric Interconnects

Details

De bash-shellfunctie is beschikbaar op alle ondersteunde Cisco NX-OS-softwareversies voor Cisco Nexus 3000-serie switches en Cisco Nexus 9000-serie switches in de zelfstandige NX-OS-modus en op Cisco NX-OS-softwareversies 8.1 en later voor Cisco Nexus 7000-serie switches.

Om misbruik te kunnen maken van deze kwetsbaarheid, moet een aanvaller beheerdersrechten hebben en toegang hebben tot specifieke configuratieopdrachten.

Als op een apparaat een Cisco NX-OS-softwareversie wordt uitgevoerd die de bash-shellfunctie niet ondersteunt , kan een gebruiker met beheerdersrechten misbruik maken van deze kwetsbaarheid om willekeurige opdrachten uit te voeren op het onderliggende besturingssysteem.

Als een apparaat een Cisco NX-OS Software-release uitvoert die de bash-shell- functie ondersteunt, kan een gebruiker met beheerdersrechten rechtstreeks toegang krijgen tot het onderliggende besturingssysteem met behulp van de bash-shell- functie. Deze kwetsbaarheid stelt een gebruiker met beheerdersrechten echter in staat om opdrachten uit te voeren op het onderliggende besturingssysteem zonder de bash-shell- functie in te schakelen en zonder systeem-syslogberichten te activeren die aangeven dat de gebruiker de bash- opdracht heeft uitgevoerd. Dit kan een gebruiker met beheerdersrechten helpen de uitvoering van shell-opdrachten op het apparaat te verbergen.

Als standaardnetwerkpraktijk moeten de referenties voor de beheerders network-admin en vdc-admin regelmatig worden gecontroleerd en gewijzigd.'