Компания Cisco выпустила июньский набор патчей, в сумме закрывающий 24 бреши в программном обеспечении FXOS для брандмауэров Firepower и NX-OS для коммутаторов Nexus. Пять уязвимостей — критические, остальным 19 присвоен высокий уровень опасности.

«Успешная эксплуатация этих брешей позволит злоумышленнику получить несанкционированный доступ к уязвимому устройству, повысить привилегии, выполнить произвольный код или команды, добраться до конфиденциальной информации или вызвать отказ в обслуживании (DoS)», — пояснили представители компании.

Все обнаруженные ошибки затрагивают операционную систему NX-OS, на которой работают сетевые устройства линейки Nexus Switch, но только 12 из них угрожают FXOS (Firepower eXtensible Operating System), предназначенной для межсетевых экранов нового поколения (Next-Generation Firewall, NGFW). Разработчики уверяют, что Cisco IOS в безопасности и в заплатках не нуждается.

Четыре критические уязвимости — CVE-2018-0312, CVE-2018-0314, CVE-2018-0304 и CVE-2018-0308 — схожи между собой, так как возникают в компоненте Fabric Services при обработке заголовков пакетов. Эксплойт может вызвать переполнение буфера и привести к отказу в обслуживании или же удаленному выполнению кода.

Пятая из критических уязвимостей — CVE-2018-0301 — опасна для модельно-ориентированного интерфейса программирования NX-API в системе NX-OS. По умолчанию он отключен, но в ином случае злоумышленник может послать через него вредоносный HTTP или HTTPS-пакет и получить root-права. Баг затрагивает десять моделей коммуникатора Nexus и MDS 9000 из линейки Multilayer Storage.

Бреши пока не использовались в реальных атаках, так как нашлись в ходе внутренних проверок. Разработчик настоятельно рекомендует администраторам как можно скорее установить патчи. Для удобства компания создала подробную таблицу с перечислением всех затронутых устройств и подробным описанием возможных ошибок.

На прошлой неделе Cisco опубликовала статью, в которой описывает свою политику выпуска обновлений и раскрытия информации об уязвимостях. Лу Ронно (Lou Ronnau), Скотт Брэдли (Scott Bradley) и Дэн Маунц (Dan Maunz) рассказали, что программные дефекты публично раскрываются только после того, как проблему исправят во всех версиях ПО.

Так разработчик гарантирует, что все клиенты получат заплатки одновременно. Если включено автоматическое обновление, то патчи могут развернуться еще до того, как компания объявит о них во всеуслышание. Из-за количества затронутых версий программ (до 50 и более) процесс устранения багов может затянуться на несколько недель или даже месяцев.

«Ответственный подход к раскрытию информации в Cisco гарантирует, что об уязвимостях не будет известно до того, как программное обеспечение не исправят и оно не станет доступным для всех поддерживаемых релизов», — резюмировали специалисты.

Категории: Главное, Уязвимости