Nationaal Cyber Security Centrum - Ministerie van Veiligheid en Justitie

Beveiligingsadvies

Kansniveau is gemiddeld Schadeniveau is hoog NCSC-2016-0836 [1.02]

Kwetsbaarheden gevonden in Cisco IOS

23-09-2016 - Er bevinden zich drie kwetsbaarheden in Cisco IOS. Cisco heeft updates uitgebracht voor twee kwetsbaarheden.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.02 #############################

Titel           : Kwetsbaarheden gevonden in Cisco IOS
Advisory ID     : NCSC-2016-0836
Versie          : 1.02
Kans            : medium
CVE ID          : CVE-2016-6403, CVE-2016-6404, CVE-2016-6415
                  (http://cve.mitre.org/cve/)
Schade          : high
                  Cross-Site Scripting (XSS)
                  Denial-of-Service (DoS)
                  Toegang tot gevoelige gegevens
Uitgiftedatum   : 20160923
Toepassing      : 
Versie(s)       : 
Platform(s)     : Cisco IOS

Update
   Cisco heeft aanvals-signatures vrijgegeven als detectiemaatregel
   tegen de kwetsbaarheid met CVE-ID CVE-2016-6415. Zie "Mogelijke
   oplossingen" voor meer informatie.

Samenvatting
   Er bevinden zich drie kwetsbaarheden in Cisco IOS. Cisco heeft
   updates uitgebracht voor twee kwetsbaarheden.

Gevolgen
   Een ongeauthenticeerde kwaadwillende kan de kwetsbaarheden mogelijk 
   op afstand misbruiken voor het verkrijgen van gevoelige informatie,
   om een Denial-of-Service te veroorzaken of voor het uitvoeren van
   een Cross-Site Scripting (XSS) aanval.

Beschrijving
   - CVE-2016-6403
   Er bevindt zich een kwetsbaarheid in de DMo-applicatie in Cisco IOS
   en IOS XE. Een ongeauthenticeerde kwaadwillende kan de kwetsbaarheid
   op afstand misbruiken door een malafide netwerk-packet te sturen
   naar het kwetsbare device en kan hiermee mogelijk een
   Denial-of-Service veroorzaken. Alleen IOS-versies met de
   IOx-feature-set zijn kwetsbaar.
   
   - CVE-2016-6404
   Er bevindt zich een kwetsbaarheid in de Cisco Local Manager in Cisco
   IOS en IOS XE. Een ongeauthenticeerde kwaadwillende kan de
   kwetsbaarheid op afstand misbruiken om een XSS-aanval uit te voeren
   op de web-interface van het kwetsbare device. De gebruiker moet
   hiervoor wel door de kwaadwillende verleid worden om malafide code
   te openen in de webbrowser.
   
   - CVE-2016-6415
   Er bevindt zich een kwetsbaarheid in de IKEv1-packet-verwerking in
   Cisco IOS, IOS XE en IOS XR. Een ongeauthenticeerde kwaadwillende
   kan de kwetsbaarheid mogelijk op afstand misbruiken om geheugen uit
   te lezen en gevoelige informatie te bemachtigen. De kwetsbaarheid
   bestaat doordat er onvoldoende controle wordt toegepast op de IKEv1
   security-negotiation-requests.

Mogelijke oplossingen
   Cisco heeft updates uitgebracht voor de kwetsbaarheden met CVE-ID
   CVE-2016-6403 en CVE-2016-6404. U kunt de updates downloaden van de
   website van Cisco. Zie voor meer informatie:
   
   CVE-2016-6403:
   http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory
      /cisco-sa-20160914-ios-xe
   
   CVE-2016-6404:
   https://tools.cisco.com/security/center/content
      /CiscoSecurityAdvisory/cisco-sa-20160914-ios
   
   Voor de kwetsbaarheid met CVE-ID CVE-2016-6415 is nog geen patch
   beschikbaar gesteld. Zie voor meer informatie:
   
   https://tools.cisco.com/security/center/content
      /CiscoSecurityAdvisory/cisco-sa-20160916-ikev1
   
   Cisco heeft signatures vrijgegeven om een eventuele aanval van de
   BENIGNCERTAIN-tool, die gebruikt kan worden om de kwetsbaarheid met
   CVE-ID CVE-2016-6415 te misbruiken, te detecteren. Voor meer
   informatie, zie:
   
   https://tools.cisco.com/security/center
      /viewIpsSignature.x?signatureId=7699&signatureSubID=0

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit 
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de 
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.


-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.3.2 (Build 16620)
Charset: utf-8
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=YNPV
-----END PGP SIGNATURE-----

Wat is het NCSC?

NCSCstill

CSBN 2017

CSBN 2017