Schlupflöcher für Hacker in VPN-Client-Software entdeckt

Cisco tunt seine Catalyst-Switch-Reihe

04.10.2002
FRAMINGHAM (IDG) - Cisco baut seine Switch- und Router-Serie weiter aus. Der Hersteller ergänzt die "Catalyst"-Reihe um Switches für konvergente Infrastrukturen, erhöht die Performance von Routern und erweitert die Management-Fähigkeiten in Netzen. Trotzdem bleiben Cisco Negativschlagzeilen nicht erspart, denn in einer VPN-Client-Software entdeckten Partner Sicherheitslücken.

Eine der Neuheiten, die Cisco gerade vorgestellt hat, sind drei modulare Ethernet-Switches für konvergente Sprach-Daten-Netze. Sie unterstützen Services wie Voice over IP oder Streaming Video. Die Serie "Catalyst 4500" unterscheidet sich von der zwei Jahre alten Vorgängerreihe durch eine redundante interne Stromversorgung sowie eine geringfügig höhere Prozessorleistung. Die Stromversorgung kann Geräte wie Voice-over-IP-Telefone über Ethernet-Verbindungen mit Strom beliefern.

Die Catalyst-Switches für die Ebenen zwei bis vier bestätigen eine neue Entwicklung im Markt: "Früher war es angesagt, möglichst einfache Switches zu bauen, derzeit geht der Trend aber dahin, Ethernet-Switches mit mehr Funktionen auszustatten", erklärt Chris Kozup, Senior Research Analyst der Meta Group. Den Catalyst-4500-Switches fehle eigentlich nur eine eigenständige Backup-Stromquelle, etwa eine Batterie. Wer auf diese zusätzliche Sicherheit nicht verzichten möchte, muss sie extra installieren.

Die Reihe besteht aus den Produkten "4507R", "4506" und "4503", die jeweils ein Gehäuse mit sieben, sechs oder drei Slots besitzen. Der 4507R und 4506 verfügen über 240 10/100/1000Base-T-Verbindungen und eine Switching-Kapazität von 64 Gbit/s. Der 4503 dagegen unterstützt 96 10/100/1000-Mbit/s-Ports und hat eine für 28 Gbit/s ausgerüstete Backplane. Die Geräte kosten 10000, 5000 und 1000 Dollar, die Preise für eine zusätzliche "Supervisor-IV"-Engine beginnen bei 13 500 Dollar. Dabei handelt es sich um Management-Module.

Für die Verwaltung von Netzen hat Cisco außerdem drei Domain-Manager präsentiert. Das "Mobile Wireless Center", "Broadband Access Center" und "Packet Telephony Center" für die Internet-OSS-Software-Suite bieten Element- und Service-Level-Management. Das erste Modul besteht aus Tools und Services für die Einrichtung drahtloser Netze, das zweite ist ein Management-System für Kabel-, DSL- und VoIP-over-Ethernet-Verbindungen, das dritte adressiert das Netz-Management in Sprachnetzen. Die Module kosten zwischen 25 000 und mehreren Millionen Dollar.

Eine weitere Neuheit aus dem Hause Cisco ist die "Network Processing Engine G1" (NPE-G1). Mit dem neuen Prozessor hat das Unternehmen seine Router-Serie "7200" beschleunigt. Diese ist jetzt laut Hersteller beinahe doppelt so schnell wie vorher und verarbeitet Daten mit bis zu einer Million Paketen pro Sekunde. Die neue Rechenleistung macht es möglich, mehr Sicherheit, Bandbreite und Verkehrs-Management zu implementieren sowie Sprache, Video und Daten, MPLS und IPv6 zu unterstützen. NPE-G1 kostet 15000 Dollar.

Während die Kalifornier durch die Engine NPE-G1 das Sicherheitspotenzial der 7200-Router erhöht haben, haben Experten in der "Cisco VPN-5000-Client-Software neue Sicherheitslücken ausgemacht. Wie die Security-Spezialisten von Ubizen und Cisco selbst feststellten, können Angreifer Administratorrechte zu einer Workstation erlangen, die die Client-Software benutzt, oder Passwörter abfangen. Die erste Schwachstelle betrifft den VPN-Client für Linux und Solaris, die zweite den für Macintosh.

Die Sicherheitslücke der Clients für Linux und Solaris beruht auf zwei Buffer-Overflow-Bedingungen. Sie ermöglichen Angreifern, wie gesagt, in die Rolle des Administrators zu schlüpfen.

Passwörter sind nicht sicher

Den Angaben von Ubizen zufolgen lassen sich die Overflow-Bedingungen leicht ausnutzen, auch ohne besondere VPN-Kenntnisse. Sie beeinträchtigen allerdings nur die Sicherheit der lokalen Workstation, zu der sich der Angreifer Zugang verschafft hat, nicht die Sicherheit des remoten Netzes, das an den VPN-Client angebunden ist.

Anders bei der Passwort-Schwachstelle: Hier wird das Passwort für die remote Verbindung im Klartext gespeichert und kann einfach von einem Hacker mit einem gängigen Editor ausgelesen werden. Das Problem betrifft die Softwareversionen bis 5.2.2. Patches für die Schwachstellen sind auf der Cisco-Website erhältlich. (sra)