Összefoglaló 2015-11-24

Cisco IOS Software Virtual PPP interfészs sérülékenység

2015-11-12

Cisco IOS Software Virtual PPP Interfaces Security Bypass Vulnerability

CVE-2015-6365, Cisco Bug IDs: CSCur01042

A Cisco IOS Software Release 15.2(04)M vagy Cisco IOS Software Release 15.4(03)M szoftvert futtató és hozzáférést vezérlő szűrő listák használatára konfigurált Cisco eszközök egy olyan sérülékenységet tartalmaznak, mely lehetővé teszi, hogy egy azonosított PPP kapcsolaton csatlakozó felhasználó megkerülje a virtuális PPP interfészekre beállított szűrőlistákat, ha a fizikai interfészre konfigurált szűrőlista átengedi a forgalmat.

A sérüllékenységet azokozza, hogy a fizikai interfész figyelmen kívül hagyja a vituális interfészekre beállított szűrőlistákat. Egy támadó kishasználva ezt a sérülékenységet meg tudja kerülni a virtuális PPP interfészre beállított szűrőlistákat és a virtuális PPP interfészeken tiltott adatforgalmat tud végrehajtani.

A sérülékenységet javító frissítések rendelkezésre állnak.

További információk találhatók, az alábbi linkeken:

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20151112-ios1

 

Cisco IOS Szoftver Tunnel Interfész Security Bypass sérülékenység

2015-11-12

Cisco IOS Software Tunnel Interfaces Security Bypass Vulnerability

CVE-2015-6366, Cisco Bug IDs: CSCur01042

A Cisco IOS Software versions 15.2(04)M6 and 15.4(03)S szoftvert futtató és hozzáférést vezérlő szűrő listák használatára konfigurált Cisco eszközök egy olyan sérülékenységet tartalmaznak, mely lehetővé teszi, hogy egy nem azonosított távoli támadó egy tunnel interefészre csatlakozva megkerülje a tunnel interfészre beállított szűrőlistákat, ha a fizikai interfészre konfigurált szűrőlista átengedi a forgalmat.

A sérüllékenységet azokozza, hogy a fizikai interfész figyelmen kívül hagyja a tunnel interfészre beállított szűrőlistákat. Egy támadó kishasználva ezt a sérülékenységet meg tudja kerülni a tunnel interfészre beállított szűrőlistákat és a tunnel interfészen tiltott adatforgalmat tud végrehajtani. Ha sikerül kihasználni a sérülékenységet, a felhasználó úgy tud adatot forgalmazni, mintha a szűrőlisták nem is lennének.

A sérülékenységet javító frissítések rendelkezésre állnak.

További információk találhatók, az alábbi linkeken:

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20151112-ios2

 

VMware biztonsági frissítés

2015-11-18

VMware Security Advisories VMSA-2015-0008

CVE-2015-3269

A Wmware biztonsági frissítéseket tett közzé mely a Vcenter, vCloud Director és a Horizon View aton sérülékenységét javítják, mely érzékeny információk elérését tette lehetővé.

Azon Wmware termékek melyek Flex BlazeDS-t használnak érintettek lehetnek az XML External Entity (XXE) kérések nem megfelelő feldolgozásában. Egy speciálisan szerkesztett XML kérést küldve a szervernek érzékeny információk szivárgását ereedmémyezheti.

A sérülékenységet javító frissítések rendelkezésre állnak.

További információk találhatók, az alábbi linken:

http://www.vmware.com/security/advisories/VMSA-2015-0008.html

 

Cisco Networking Services érzékeny információ szivárgás

2015-11-20

Cisco Networking Services Sensitive Information Disclosure Vulnerability

CVE-2015-6375, Cisco Bug IDs: CSCux18010

A Cisco IOS eszközök konfigurálására használt Cisco Networking Services (CNS) debug naplózási funkció sérülékenysége lehetővé teszi. Hogy egy azonosított helyi támadó érzékeny adatokhoz hozzáférjen.

A sérülékenység az érzékeny adatok nem megfelelő védelme okozza. A támadó úgy tudja kihasználni ezt a sétülékenységet, hogy egy speciális fájlt elérve érzékeny információkat tud kiolvasni.

A Cisco nem adott ki szoftver frissítést a sérülékenység javítására, viszont az alábbi óvintézkedést javasolja:

A “debug cns …” parancsot nem szabad kiadni a parancssori interfészen.

További információk találhatók, az alábbi linkeken:

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20151120-ns