Network

Cisco Veri Merkezi Ağ Yöneticisi Kimlik Doğrulaması Açıkları

özet
  • Cisco Veri Merkezi Ağ Yöneticisi’nin (DCNM) kimlik doğrulama mekanizmalarındaki çoklu güvenlik açıkları, kimliği doğrulanmamış, uzak bir saldırganın kimlik doğrulamasını atlamasına ve etkilenen bir cihazda yönetici ayrıcalıklarıyla rastgele eylemler yürütmesine izin verebilir.

    Bu güvenlik açıkları hakkında daha fazla bilgi için , bu danışma belgesinin Ayrıntılar bölümüne bakın.

    Cisco bu güvenlik açıklarını gideren yazılım güncellemeleri yayımladı. Bu güvenlik açıklarını gideren bir çözüm yoktur.

    Savunmasız Ürünler

    Bu güvenlik açıkları, Microsoft Windows, Linux ve sanal cihaz platformları için Sürüm 11.3’ten (1) önceki Cisco DCNM yazılım sürümlerini etkiler.

    Güvenlik Açığı Olmayan Doğrulanan Ürünler

    Yalnızca bu danışma belgesinin Güvenlik Açığı Ürünler bölümünde listelenen ürünlerin bu güvenlik açıklarından etkilendiği bilinmektedir.

ayrıntılar
  • Cisco Veri Merkezi Ağ Yöneticisi’nin (DCNM) kimlik doğrulama mekanizmalarındaki üç güvenlik açığı, kimliği doğrulanmamış, uzak bir saldırganın kimlik doğrulamasını atlamasına ve etkilenen bir cihazda yönetici ayrıcalıklarıyla rastgele eylemler yürütmesine izin verebilir.

    Bu güvenlik açıkları birbirine bağımlı değildir; Bu güvenlik açıklarından birinin kullanılması için başka bir güvenlik açığından yararlanılması gerekmez. Ayrıca, güvenlik açıklarından birinden etkilenen bir yazılım sürümü diğer güvenlik açıklarından etkilenmeyebilir.

    Bu güvenlik açıklarıyla ilgili ayrıntılar aşağıdaki gibidir.

    Güvenlik Açığı Ayrıntıları

    Cisco Veri Merkezi Ağ Yöneticisi REST API’sinde Kimlik Doğrulaması Atlama Güvenlik Açığı

    Cisco DCNM’nin REST API uç noktasındaki bir güvenlik açığı, kimliği doğrulanmamış, uzak bir saldırganın etkilenen bir cihazda kimlik doğrulamasını atlamasına izin verebilir.

    Güvenlik açığı, yüklemeler arasında statik bir şifreleme anahtarı paylaşıldığı için oluşur. Saldırgan, geçerli bir oturum belirteci oluşturmak için statik anahtarı kullanarak bu güvenlik açığından yararlanabilir. Başarılı bir istismar, saldırganın REST API aracılığıyla yönetimsel ayrıcalıklarla keyfi eylemler gerçekleştirmesine izin verebilir.

    CVE Kimliği: CVE-2019-15975

    Cisco Veri Merkezi Ağ Yöneticisi SOAP API’sında Kimlik Doğrulaması Atlama Güvenlik Açığı

    Cisco DCNM’nin SOAP API uç noktasındaki bir güvenlik açığı, kimliği doğrulanmamış, uzak bir saldırganın etkilenen bir cihazda kimlik doğrulamasını atlamasına izin verebilir.

    Güvenlik açığı, yüklemeler arasında statik bir şifreleme anahtarı paylaşıldığı için oluşur. Saldırgan, geçerli bir oturum belirteci oluşturmak için statik anahtarı kullanarak bu güvenlik açığından yararlanabilir. Başarılı bir istismar, saldırganın SOAP API’si aracılığıyla yönetimsel ayrıcalıklarla keyfi eylemler gerçekleştirmesine izin verebilir.

    CVE Kimliği: CVE-2019-15976

    Cisco Veri Merkezi Ağ Yöneticisi’nde Kimlik Doğrulaması Atlama Güvenlik Açığı

    Cisco DCNM’nin web tabanlı yönetim arayüzündeki bir güvenlik açığı, kimliği doğrulanmamış, uzak bir saldırganın etkilenen bir cihazda kimlik doğrulamasını atlamasına izin verebilir.

    Güvenlik açığı, statik kimlik bilgilerinin varlığından kaynaklanmaktadır. Saldırgan, kullanıcı arabiriminde kimlik doğrulaması yapmak için statik kimlik bilgilerini kullanarak bu güvenlik açığından yararlanabilir. Başarılı bir istismar, saldırganın web arayüzünün belirli bir bölümüne erişmesine ve etkilenen bir cihazdan belirli gizli bilgileri almasına izin verebilir. Bu bilgiler sisteme karşı daha fazla saldırı yapmak için kullanılabilir.

    CVE Kimliği: CVE-2019-15977

Geçici Çözümler
  • Bu güvenlik açıklarını gideren bir çözüm yoktur.

Sabit Yazılım
  • Cisco, bu danışma belgesinde açıklanan güvenlik açıklarını gideren ücretsiz yazılım güncelleştirmeleri yayımladı. Müşteriler yalnızca lisans satın aldıkları yazılım sürümleri ve özellik kümeleri için destek yükleyebilir ve bekleyebilirler. Müşteriler bu tür yazılım yükseltmelerini yükleyerek, indirerek, erişerek veya başka bir şekilde kullanarak Cisco yazılım lisansının şartlarını takip etmeyi kabul eder:
    https://www.cisco.com/c/en/us/products/end-user-license- agreement.html

    Ayrıca, müşteriler yalnızca geçerli bir lisansa sahip oldukları, doğrudan Cisco’dan veya bir Cisco yetkili satıcısı veya iş ortağı aracılığıyla edinilen yazılımları indirebilir. Çoğu durumda bu, daha önce satın alınan yazılıma bir bakım yükseltmesi olacaktır. Ücretsiz güvenlik yazılımı güncellemeleri, müşterilere yeni bir yazılım lisansı, ek yazılım özellik setleri veya önemli revizyon yükseltmeleri hakkı tanımaz.

    Ne zaman dikkate yazılım yükseltmeleri , müşteriler için tavsiye edilir düzenli temin edilebilir Cisco ürünleri için uyarılarının danışmak Cisco Güvenlik Tavsiyeleri ve Uyarılar sayfasında pozlama ve tam bir yükseltme çözümü belirlemek için.

    Her durumda, müşteriler yükseltilecek aygıtların yeterli bellek içerdiğinden emin olmalı ve mevcut donanım ve yazılım yapılandırmalarının yeni sürüm tarafından doğru şekilde desteklenmeye devam edeceğini doğrulamalıdır. Bilgiler net değilse, müşterilerin Cisco Teknik Yardım Merkezi (TAC) veya sözleşmeli bakım sağlayıcılarıyla iletişim kurmaları önerilir.

    Hizmet Sözleşmesi Olmayan Müşteriler

    Doğrudan Cisco’dan alışveriş yapan ancak bir Cisco hizmet sözleşmesi yapmayan müşteriler ve üçüncü taraf satıcılar aracılığıyla alışveriş yapan ancak satış noktaları üzerinden sabit yazılım elde etmeyi başaramayan müşteriler, Cisco TAC ile iletişime geçerek yükseltmeleri edinmelidir:
    https: // www .cisco.com / c / tr / tr / support / web / tsd-cisco-dünya çapında-contacts.html

    Müşteriler, ürün seri numarasını hazır bulundurmalı ve bu danışma belgesinin URL’sini ücretsiz yükseltme hakkına ilişkin kanıt olarak sunmaya hazır olmalıdır.

    Sabit Sürümler

    Cisco, bu güvenlik açıklarını Cisco DCNM Yazılımındaki 11.3 (1) ve sonraki sürümlerde giderdi.

    Yazılımı Cisco.com’daki Yazılım Merkezi’nden indirmek için aşağıdakileri yapın:

    1. Tümünü Tara’yı tıklayın .
    2. Seç Cloud ve Sistemler Yönetimi> Veri Merkezi Altyapı Yönetimi> Veri Merkezi Ağ Yöneticisi .
    3. Veri Merkezi Ağ Yöneticisi sayfasının sol bölmesinden bir sürüm seçin.
Sömürü ve Kamusal Duyurular
  • Cisco Ürün Güvenliği Olayı Yanıt Ekibi (PSIRT), bu danışma belgesinde açıklanan güvenlik açıkları için kavram kanıtı yararlanma kodunun kullanılabilir olduğunun farkındadır.

    Cisco PSIRT, bu danışma belgesinde açıklanan güvenlik açıklarının herhangi bir kötü amaçlı kullanımından haberdar değildir.

Click to comment

You must be logged in to post a comment Login

Leave a Reply

This site uses Akismet to reduce spam. Learn how your comment data is processed.

popüler yazılar

To Top
%d blogcu bunu beğendi: