Cisco zal lek in switches waardoor versleuteld verkeer is te lezen niet patchen
Een kwetsbaarheid in switches van Cisco maakt het mogelijk voor een aanvaller om versleuteld verkeer te kraken en zo de inhoud te lezen. Het netwerkbedrijf zal echter geen beveiligingsupdates uitbrengen om het probleem te verhelpen, zo blijkt uit het beveiligingsbulletin. Het beveiligingslek (CVE-2023-20185) is aanwezig in Cisco-switches in de 9000-serie.
Deze switches kunnen worden gebruikt om verkeer tussen verschillende locaties uit te wisselen. Dit "intersite" verkeer is door middel van de CloudSec encryption feature te versleutelen. Een kwetsbaarheid in deze feature zorgt ervoor dat een ongeauthenticeerde, remote aanvaller het versleutelde verkeer kan lezen of aanpassen. Een aanvaller moet hiervoor wel een man-in-the-middle positie hebben.
Het beveiligingslek wordt veroorzaakt door de manier waarop het encryptie-algoritme in de CloudSec encryption feature is geïmplementeerd. Dit maakt het mogelijk om het onderschepte, versleutelde verkeer door middel van crypto-analytische technieken te kraken, aldus Cisco. Het bedrijf kwam gisteren met een waarschuwing voor de kwetsbaarheid, maar zal geen updates uitbrengen. Organisaties worden door Cisco aangeraden om de feature uit te schakelen en contact met hun "supportorganisatie" op te nemen om zo alternatieve opties te evalueren.
Ik kan me nog herinneren dat de Cisco Nexus series verkocht werden als MPLS switch... dat kon die niet, want er moest een nieuwe supervisor board voor gemaakt worden... toen bleek dat de het geheugen niet geschikt was en moest er 4x zoveel geheugen ingeprikt worden om hem MPLS capable te maken... En dan wilde je het vervolgens niet meer met dat bakbeest doen, want de stroomrekening van een Cisco Nexus datacentertje voor een gemiddelde onderneming was zo hoog als van een gemiddelde woonwijk.
En daarna kwam het gezeik met de intel atom c2000 series.... hele reeksen routers en switches en firewalls waren daarmee uitgerust... alleen als je bij de top10 van bedrijven zat, deden ze nog deze self-destruct meuk vervangen voor gerefurbishte meuk....
Daarna kwam het gezeik met de ASA5000 en daarna de ASA5000-X series.. gewoon gecancled... had je net een paar dozijn van die firewalls gekocht (eigen meer een router met een grote bek en een omhoog gevallen proxy dan een echte firewall) dan werd vrolijk gezeg. ja, geen support meer, we doen het niet meer. Geen replacement product part number, geen replacement product description.. gewoon, gekocht? ja, jouw probleem...
Datzelfde zie ik ook nog wel gebeuren met de ISR4xxx series... daar wordt gepushed richting de catalyst 8000 series (ja, de routers worden vervangen door een product met een switch-naam,,.. hoe verzinnen ze het)... overigens is de 8300 maar 8x zo duur als de 4431...
Alternatieve opties?
Simpel... Extreme Networks met MACsec, kun je ook MKA gebruiken ipv verplicht BGP, geen Cisco meuk. met garantie tot de deur, support van lik-me-vestje en naar 99% waarschijnlijkheid backdoors van de NSA als standaard.
En nu dus cloudsec gecanceled... Ik denk dat een hoop datacenters die ingericht zijn als DR nu toch moeten gaan zoeken naar alternatieven voor laag2 koppelingen over laag3 verbindingen. Dus of een firewall er tussen en ipsec-vpn en vxlan, of iets simpelers als DMVPN...
Inderdaad eigenlijk moet je gewoon een deel van je aanschafprijs terug krijgen. Dat vond ik ook al zo vreemd met die intel bug, als je die patch had toegevoegd had je ~20% minder performance. Dan hoor je toch ook voor de minder geleverde performance gecompenseerd te worden.
:D was is dit voor gelul over tesla, alsof een tesla beter is dan een mercedes, heb je uberhaubt wel eens in een tesla en mercedes van dezelfde prijs gezeten. Volgens mij kan je tesla beter gelijkstellen aan dacia of zo.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!