보안 권고문

Cisco 제품군 2024년 9월 1차 보안 업데이트 권고

개요

Cisco (https://www.cisco.com) 에서는 공급한 제품의 취약점을 해결하는 보안 업데이트를 발표하였습니다. 해당하는 시스템 사용자는 최신 버전으로 업데이트하시기 바랍니다.

Cisco ConfD

Cisco IOS XR Software

Cisco IOS XR Software에서 데이터 검증이 미흡하여 관리자 수준으로 권한상승이 가능한 취약점 (CVE-2024-20398, CVSS 8.8) [1]

Cisco ConfD,Cisco IOS XR Software에서 권한 설정이 미흡하여 영향을 받는 애플리케이션이나 장치의 구성을 무단으로 수정하는 취약점 (CVE-2024-20381, CVSS 8.8) [2]

Cisco IOS XR Software에서 Mtrace2 코드가 패킷 메모리를 제대로 처리하지으로 인해 들어오는 UDP 패킷 메모리를 고갈시키는 취약점 (CVE-2024-20304, CVSS 8.6) [3]

Cisco IOS XR Software에서 Cisco IOS XR 소프트웨어를 실행하는 장치에서 암호화되지 않은 데이터베이스 자격 증명을 부적절하게 저장으로 인해 mongodb 자격 증명을 보는 취약점 (CVE-2024-20489, CVSS 8.4) [4]

Cisco IOS XR Software에서 인터페이스에서 수신된 특정 유형의 이더넷 프레임의 잘못된 분류으로 인해 제어 평면 프로토콜 관계가 실패하게 하는 취약점 (CVE-2024-20317, CVSS 7.4) [5]

Cisco IOS XR Software에서 입력값 검증이 미흡하여 유연한 알고리즘에 참여하는 모든 영향을 받는 장치에서 is-is 프로세스를 발생시켜 충돌 및 재시작을 유발하는 취약점 (CVE-2024-20406, CVSS 7.4) [6]

Cisco IOS XR Software에서 데이터 검증이 미흡하여 관리자 권한으로 임의 명령 실행이 가능한 취약점 (CVE-2024-20483, CVSS 7.2) [7]

Cisco IOS XR Software에서 특정 CLI 명령에 전달되는 인수의 잘못된 검증으로 인해 공격자가 리눅스 파일 시스템에서 읽기 전용 모드로 파일에 액세스하는 취약점 (CVE-2024-20343, CVSS 5.5) [8]

Cisco IOS XR Software에서 수신 XML 패킷의 적절한 오류 검증 부족으로 인해 공격 트래픽이 지속되는 동안 xml tcp 포트 38751에 접근할 수 없게 만드는 취약점 (CVE-2024-20390, CVSS 5.3) [9]

2024년 09월 11일 업데이트를 통해 제품별 취약점 패치가 제공되었습니다. 아래 참고 사이트의 제품별 정보에서 ‘Affected Products’와 ‘Fixed Software’ 내용을 참고하여 패치를 적용하시기 바랍니다.

[1] Cisco IOS XR Software CLI Privilege Escalation Vulnerability

[2] Multiple Cisco Products Web-Based Management Interface Privilege Escalation Vulnerability

[3] Cisco IOS XR Software UDP Packet Memory Exhaustion Vulnerability

[4] Cisco Routed Passive Optical Network Controller Vulnerabilities

[5] Cisco IOS XR Software Network Convergence System Denial of Service Vulnerability

[6] Cisco IOS XR Software Segment Routing for Intermediate System-to-Intermediate System Denial of Service Vulnerability

[7] Cisco Routed Passive Optical Network Controller Vulnerabilities

[8] Cisco IOS XR Software CLI Arbitrary File Read Vulnerability

[9] Cisco IOS XR Software Dedicated XML Agent TCP Denial of Service Vulnerability