Cisco устраняет критическую уязвимость удаленного выполнения команд в Сервере Контроля Безопасного Доступа

30.08.2013 | 11:02 Экономика

Эта уязвимость позволяет неавторизованным злоумышленникам удаленно получить контроль над операционной системой, говорится в сообщении компании

Cisco Systems выпустила обновления безопасности для сервера контроля безопасного доступа (ACS) под Windows, в целях исправления критической уязвимости, которая может позволить неавторизованному злоумышленнику удаленно выполнить произвольный код и получить контроль над управляющей операционной системой.

Cisco Secure ACS — это приложение, которое позволяет компаниям централизованно управлять доступом к сетевым ресурсам различных типов устройств и пользователей. Согласно документации Cisco, она обеспечивает политику контроля доступа для VPN, беспроводных и других пользовательских сетей, а также аутентификацию администраторов, разрешает команды и предоставляет аудит.

Cisco Secure ACS поддерживает два протокола управления доступа к сети: Remote Authentication in Dial-In User Service (RADIUS) и Terminal Access Controller Access-Control System Plus (TACACS +).

Вновь исправленная уязвимость идентифицирована как CVE-2013-3466 и затрагивает Cisco Secure ACS для Windows версии с 4.0 до 4.2.1.15, когда настроен RADIUS сервер с расширяемым протоколом аутентификации EAP с гибкой аутентификацией через защищенное туннелирование (EAP-FAST).

«Уязвимость существовала из-за неправильного анализа подлинности пользователей, используемого для EAP-FAST аутентификации», заявила Cisco в среду в предупреждении об опасности. «Злоумышленник может воспользоваться этой уязвимостью, отправив созданные EAP-FAST пакеты на подверженные ей устройства».

«Успешное использование уязвимости может позволить не идентифицированному, удаленному злоумышленнику выполнить произвольный код и получить полный контроль над операционной системой, на которой размещено приложение Cisco Secure ACS в контексте системного пользователя для Cisco Secure ACS, работающего на Microsoft Windows», говорится в сообщении компании.

Уязвимость получила максимальную степень опасности – 10.0 в системе оценок общих уязвимостей (CVSS), что указывает на её критичность. Чтобы исправить изъян, был выпущен Cisco Secure ACS для Windows версии 4.2.1.15.11.

Известных обходных путей не существует, так что переход на обновленные версии приложения рекомендуется.