[English]Der Hersteller Cisco hat die Woche Sicherheitsupdates veröffentlicht, um eine hoch eingestufte Schwachstelle (CVE-2022-20653) in seinen E-Mail Security Appliances zu schließen. Angreifer konnten über präparierte E-Mails die E-Mail Security Appliances zum Absturz bringen und so quasi einen DoS-Angriff fahren. Betrifft die Cisco AsyncOS-Software der Versionen 14.0, 13.5, 13.0, 12.5 und älter auf Cisco ESA-Geräten, wenn DANE eingeschaltet ist.
Anzeige
Ich bin über verschiedene Berichte, u.a. folgenden Tweet, diese Woche auf den Sicherheitshinweise von Cisco mit dem Problem aufmerksam geworden.
Es gibt eine Schwachstelle in der Komponente für die DNS-basierte Authentifizierung von benannten Entitäten (DANE) zur Überprüfung von E-Mails in der Cisco AsyncOS Software für Cisco Email Security Appliance (ESA). Diese Sicherheitslücke (CVE-2022-20653) ist auf eine unzureichende Fehlerbehandlung bei der DNS-Namensauflösung durch die betroffene Software zurückzuführen. Die Schwachstelle könnte es einem nicht authentifizierten, Remote-Angreifer ermöglichen, einen Denial-of-Service-Zustand (DoS) auf einem betroffenen Gerät zu verursachen.
Ein Angreifer könnte diese Sicherheitslücke ausnutzen, indem er speziell formatierte E-Mail-Nachrichten sendet, die von einem betroffenen Gerät verarbeitet werden. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, das Gerät von den Verwaltungsschnittstellen aus unerreichbar zu machen oder die Verarbeitung weiterer E-Mail-Nachrichten für eine gewisse Zeit verhindern, was zu einem DoS-Zustand führt. Fortgesetzte Angriffe können dazu führen, dass das Gerät vollständig unerreichbar wird, was zu einem anhaltenden DoS-Zustand führt.
Anzeige
Cisco hat Software-Updates veröffentlicht, die diese Sicherheitslücke beheben, und es gibt Workarounds für diese Sicherheitslücke, die von Cisco im Sicherheitshinweis angesprochen werden.
Anzeige
