Sicherheit: Zero-Day-Lücke in über 300 Cisco-Switches

Cisco warnt vor einer Zero-Day-Lücke in der IOS/IOS-XE-Software, die einen Neustart der Switches sowie die Ausführung von Code bis zur völligen Kontrolle der Geräte erlaubt. Wie Cisco mitteilt, wurde die Lücke in den von WikiLeaks kürzlich veröffentlichten CIA-Papieren entdeckt, die unter dem Namen Vault 7 bekannt wurden.

Kritische Lücke im CMP

Cisco bezeichnet die Lücke, für die es noch keinen Patch gibt, als kritisch. Der Fehler war beim Durchforsten der von WikiLeaks kürzlich veröffentlichten 8.761 Dokumente über Hacking-Tools und –Methoden der CIA gefunden worden. Die Verwundbarkeit wurde bereits unter CVE-2017-3881 katalogisiert.

Die Lücke befindet sich im Cluster Management Protocol (CMP) der IOS/IOS-XE-Software. Per CMP kommunizieren Switches per Telnet oder SSH in einem Cluster. Dabei ist Telnet nicht auf interne Kommunikation beschränkt, sondern kann auch von außen angesprochen werden.

Telnet abschalten als Zwischenlösung

Auch auf Consumer-Geräten, die keine Cluster-Funktionen nutzen, ist diese Funktion standardmäßig eingeschaltet, wodurch auch diese Geräte durch die Lücke angreifbar sind. Betroffen sind unter anderem 264 Cisco-Switches der Baureihe Cisco Catalyst sowie 51 Industrial Ethernet Switches. Eine komplette Liste aller betroffenen Switches findet sich im Security Advisory. Bis ein Patch für die Lücke verfügbar ist, rät Cisco zur Deaktivierung der Telnet-Funktion zugunsten von SSH in den betroffenen Geräten.

Folgt man den WikiLeaks-Papieren, so waren dementsprechend vermutlich Hunderttausende Geräte über einen unbekannten Zeitraum für die CIA zugänglich.