Корпорація Cisco опублікувала серію бюлетенів безпеки, присвячених критичним уязвимостям в її продуктах.

помилки контролю.

Cisco Systems опублікувала кілька бюлетенів безпеки в зв'язку з виявленням - і усуненням - ряду критичних помилок в її хмарних продуктах. Велика частина помилок пов'язана з можливістю віддаленого виконання довільного коду або підвищення привілеїв в системі.

Зокрема, в хмарному контролері Elastic Services Controller виявлено присутність «статичних» попередньо (тобто, незмінних) даних на авторизацію, тобто «вшитих» в код адміністративних логінів і паролів, які чинять спротив зміни. З їх допомогою зловмисники можуть віддалено отримувати доступ в консоль управління.

Оскільки ці дані є загальними для декількох різних установок, зловмисник може «згенерувати адміністраторський токен сесії, який дозволить отримувати доступ до всіх активних веб-консолей ESC».

Хто пустив кота?.

Крім того, в ESC виявився баг, що дозволяє підвищувати привілеї: встановлений користувач з ніком tomcat має доступ до деяких команд оболонки, що допускають перезапис будь-яких файлів в системі і підвищення привілеїв до рівня root (суперкористувача).

Небезпека зайвих привілеїв.

В системі автоматизації Ultra Services Framework (USF) виявилася небезпечна настройка служби конфігурації і синхронізації Apache ZooKeeper. В теорії її також можна використовувати віддалено для отримання доступу до того чи іншого пристрою, якщо зловмиснику вдається потрапити в мережу оркестратор.

Фреймворк, крім того, містить баг у допоміжному сервері: вразливість в службі AutoIT дозволяє віддалено запускати довільні команди оболонки з повноваженнями суперкористувача.

Без перевірки авторизації.

Ще дві виявлені помилки також відносяться до USF. Перша міститься в інструменті AutoVNF і дозволяє - в теорії - отримати адміністративний доступ до всього ESC.

Проблема полягає в тому, що адміністраторські логін і пароль зберігаються в лог-файлі в незашифрованому вигляді, і якщо зловмисник знає адресу цього файлу, він може дістатися і до авторизаційних даних.

Друга помилка криється також в AutoVNF і його методі генерації символічного посилання ( «симлінк»). При наявності працюючого експлойта, зловмисник може прочитати будь-який файл або запускати довільний код без авторизації в системі.

Для всіх помилок випущені програмні оновлення. З огляду на їх серйозність, дані патчі слід встановити якомога швидше.