BDU:2019-02224 (CVE-2019-1649) — уязвимость функции доверенной загрузки Secure Boot микропрограммного обеспечения cетевых устройств Cisco

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Средний — 6.7/10 Устранена

Уязвимость функции доверенной загрузки Secure Boot микропрограммного обеспечения cетевых устройств Cisco связана с ошибками проверки целостности кода. Эксплуатация уязвимости может позволить нарушителю установить вредоносный образ программного обеспечения

Кого касается и что делать

Уязвимое ПО: Cisco IOS XR (Cisco Systems) — версии до 7.0.1, до 7.1.1; NX-OS (Cisco Systems) — версии до 9.3(2), до 8.4.1; NIM-1CE1T1-PRI (Cisco Systems); и ещё 60 позиций
Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)

Сведения об уязвимости

Идентификаторы	BDU:2019-02224 · CVE-2019-1649
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.7; CVSS 2.0 — 6.5)
Вектор CVSS 3.1	AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H нужен локальный доступ, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость функции доверенной загрузки Secure Boot микропрограммного обеспечения cетевых устройств Cisco, связанная с ошибками проверки целостности кода, позволяющая нарушителю установить вредоносный образ программного обеспечения
Даты	Опубликована: 26.06.2019 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 13.05.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-284 — неправильный контроль доступа
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: подмена при взаимодействии

Уязвимое ПО

Cisco IOS XR (Cisco Systems) — версии до 7.0.1, до 7.1.1 · операционная система
NX-OS (Cisco Systems) — версии до 9.3(2), до 8.4.1 · операционная система
NIM-1CE1T1-PRI (Cisco Systems) — микропрограммный код
NIM-1MFT-T1/E1 (Cisco Systems) — микропрограммный код
NIM-2BRI-NT/TE (Cisco Systems) — микропрограммный код
NIM-2CE1T1-PRI (Cisco Systems) — микропрограммный код
NIM-2FXO (Cisco Systems) — микропрограммный код
NIM-2FXS (Cisco Systems) — микропрограммный код
NIM-2FXS/4FXO (Cisco Systems) — микропрограммный код
NIM-2FXS/4FXOP (Cisco Systems) — микропрограммный код
NIM-2FXSP (Cisco Systems) — микропрограммный код
NIM-2MFT-T1/E1 (Cisco Systems) — микропрограммный код
NIM-4BRI-NT/TE (Cisco Systems) — микропрограммный код
NIM-4E/M (Cisco Systems) — микропрограммный код
NIM-4FXO (Cisco Systems) — микропрограммный код
NIM-4FXS (Cisco Systems) — микропрограммный код
NIM-4FXSP (Cisco Systems) — микропрограммный код
NIM-4MFT-T1/E1 (Cisco Systems) — микропрограммный код
NIM-8CE1T1-PRI (Cisco Systems) — микропрограммный код
NIM-8MFT-T1/E1 (Cisco Systems) — микропрограммный код
ASA 5506H-X (Cisco Systems) — до 1.1.15 · микропрограммный код
ASA 5506W-X (Cisco Systems) — до 1.1.15 · микропрограммный код
ASA 5506-X (Cisco Systems) — до 1.1.15 · микропрограммный код
ASA 5508-X (Cisco Systems) — до 1.1.15 · микропрограммный код
ASA 5516-X (Cisco Systems) — до 1.1.15 · микропрограммный код
Firepower 4000 (Cisco Systems) — до 1.0.18 · микропрограммный код
Firepower 2100 (Cisco Systems) — до 2.6.1.134 · микропрограммный код
Firepower 9000 (Cisco Systems) — до 1.0.18 · микропрограммный код
15454-M-WSE-K9 (Cisco Systems) — до 11.1 · микропрограммный код
NCS2K-MR-MXP-LIC (Cisco Systems) — до 11.1 · микропрограммный код
Cisco IOS XE (Cisco Systems) — версии до 16.12.1, до 15.5(1)SY4, до 16.3.9, до 16.6.7, до 16.9.4, до 16.2.1 · операционная система, ПО сетевого программно-аппаратного средства
Cisco IOS (Cisco Systems) — версии до 15.9(3)M, до 15.8(3)M3, до 15.7(3)M5, до 15.6(3)M7, до 15.6(3)m6b, до 15.7(3)m4b, до 15.8(3)m2a · операционная система, ПО сетевого программно-аппаратного средства
Cisco 3000 (Cisco Systems) — до 1.0.05 · микропрограммный код
Cisco 4221 (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 4321 (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 4331 (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 4351 (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 4431 (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 4451-X (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 4461 (Cisco Systems) — до 1.1 · микропрограммный код
Cisco 5000 (Cisco Systems) — микропрограммный код
ASR 1001-HX (Cisco Systems) — микропрограммный код
ASR 1002-HX (Cisco Systems) — микропрограммный код
ASR1000-2T+20X1GE (Cisco Systems) — микропрограммный код
ASR1000-6TGE (Cisco Systems) — микропрограммный код
ASR1000-ESP100 (Cisco Systems) — микропрограммный код
ASR1000-ESP200 (Cisco Systems) — микропрограммный код
ASR1000-MIP100 (Cisco Systems) — микропрограммный код
ASR1000-RP3 (Cisco Systems) — микропрограммный код
ASR 1001-X (Cisco Systems) — микропрограммный код
… и ещё 13 позиций

ОС и платформы

ОС без названия (Cisco Systems) — ASR 903 — 400G

Возможные меры по устранению уязвимости

Обновление. Обновление программного обеспечения до более поздней версии

Источники

tools.cisco.com/security/center/content/CiscoSecurityAdvi…

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: