Cisco устранила критическую уязвимость в Application Policy Infrastructure Controller

Компания Cisco выпустила обновление, исправляющее критическую брешь  CVE-2015-4235  в контроллере программно-конфигурируемых сетей (software-defined networking, SDN). Эксплуатация уязвимости позволяет удаленно получить доступ к системе и выполнять команды с привилегиями суперпользователя. Таким образом злоумышленник может получить доступ к командам и файлам на контроллере, что позволит ему проводить любые модификации системы, разрешать или запрещать доступ другим пользователям, в том числе и тем, кто обладает правами суперпользователя.

Как следует из бюллетеня безопасности компании, уязвимость в конфигурации кластера Cisco Application Policy Infrastructure Controller (APIC) позволяла удаленному авторизованному атакующему получить доступ к APIC с правами суперпользователя. Брешь возникла из-за некорректной реализации контроля доступа в файловой системе APIC.

Брешь затрагивает продукты APIC, использующие версии ПО до 1.1(1j), 1.0(3o) и 1.0(4o), а также Cisco Nexus 9000 с версиями ПО до 11.1(1j) и 11.0(4o). Другие продукты компании данной уязвимости не подвержены. В настоящее время специалистам Cisco не известно о случаях эксплуатации уязвимости.