Новости / Безопасность
Cisco выпустила исправления для роутеров и VoIP
3 февраля 2006 года Cisco выпустила уведомления безопасности для CallManager и некоторых развёртываний IOS. Среди описанных рисков CallManager были отказ в обслуживании и повышение привилегий при определённой административной настройке.
Возможные последствия для телефонии
По источнику, успешная атака отказа в обслуживании могла нарушить регистрацию телефонов или сделать их неотзывчивыми. Второй риск касался систем с многоуровневым администрированием, где ограниченная учётная запись могла получить больше прав.
Отдельная проблема IOS
Cisco также исправила удалённо эксплуатируемый отказ в обслуживании, связанный со Stack Group Bidding Protocol в отдельных версиях IOS. Это историческое уведомление, а не совет о нынешней уязвимости. Устойчивый вывод: версии ПО и активные функции нужно сопоставлять с актуальными указаниями поставщика. Организациям с такими выпусками требовалось сверяться с уведомлением, относящимся к конкретной версии.
Два последствия безопасности, а не одна общая тревога
Уведомления Cisco охватывали проблемы CallManager с разными операционными последствиями и отдельное состояние IOS, связанное со Stack Group Bidding Protocol. Отказ в обслуживании угрожает тому, смогут ли телефоны зарегистрироваться или отвечать; проблема привилегий касается возможности ограниченного администратора получить более широкий контроль. Если назвать оба случая одним расплывчатым сбоем, исчезнут разные люди и услуги, которым грозит риск. Пункт IOS относится к обновлению лишь как отдельный вопрос версии и функции.
Первой задачей было сопоставление версий
Материал указывает затронутые версии в руководстве Cisco 2006 года и связывает проблему привилегий с многоуровневым администрированием. Поэтому инвентаризация полезнее общей тревоги. Оператору нужно было установить, какие версии CallManager работают, есть ли указанная схема администрирования и какое IOS-оборудование использует названный протокол. Только после этого обслуживание можно привязать к бюллетеню, а не к одному имени продукта.
Защита должна была сосуществовать с голосовой услугой
В голосовой среде применение исправления — не отвлечённое действие безопасности: регистрация телефонов и администрирование поддерживают услугу, которой пользуются люди. Изменение для снижения риска само может потребовать планирования, чтобы не вызвать лишний перерыв. Источник не устанавливает современную подверженность и не предписывает текущий патч. Его исторический урок операционен: отделять риск доступности от риска привилегий и сопоставлять уведомление поставщика с фактическим ПО и включённой конфигурацией до назначения работ. Так сохраняется полезная последовательность для исторического случая: определить затронутую комбинацию, понять последствие для услуги и затем спланировать изменение вокруг непрерывности голоса.
При подготовке обслуживания также нужно различать установленное ПО и реально включённую уязвимую функцию: эти списки отвечают на разные вопросы о подверженности риску.