Worum es geht

Der Cisco Application Policy Infrastructure Controller (APIC) ist die architektonische Hauptkomponente der Cisco Application Centric Infrastructure. Ein Angreifer kann mehrere Schwachstellen in Cisco Application Policy Infrastructure Controller ausnutzen, um sich erweiterte Berechtigungen zu verschaffen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand auszulösen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• sich erweiterte Berechtigungen zu verschaffen
• beliebigen Code auszuführen
• Sicherheitsmaßnahmen zu umgehen
• Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand auszulösen

Bin ich betroffen?

Betroffen sind laut BSI:

• Cisco Application Policy Infrastructure Controller <6.0(9h)
• Cisco Application Policy Infrastructure Controller <6.1(6g)
• Cisco Application Policy Infrastructure Controller <6.2(3g)
• Cisco Application Policy Infrastructure Controller <6.1(3f)

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Cisco Application Policy Infrastructure Controller 6.0(9h)
• Cisco Application Policy Infrastructure Controller 6.1(6g)
• Cisco Application Policy Infrastructure Controller 6.2(3g)
• Cisco Application Policy Infrastructure Controller 6.1(3f)

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.