Cisco Patchdays

[rc.d]

Cisco hat angekuendigt in Zukunft 2x pro Jahr einen IOS Patchday zu veranstalten. Damit wollen sie auf die
Kundenforderungen reagieren und dem Vorbild von Oracle _{oder Microsoft} folgen.

Die Patchdays sollten immer am 4. Mittwoch im Monat Maerz und September stattfinden. Sollten allerdings
dazwischen kritische Sicherheitsluecken auftauchen werden sie diese "Patches" gesondert von den Patchdays
veroeffentlichen.

Erster Patchday soll angeblich der 26. Maerz sein.

Wer selbst nachlesen will, kann dies auf der Cisco Homepage tun

[Zwerg#7]

Cisco hat angekuendigt in Zukunft 2x pro Jahr einen IOS Patchday zu veranstalten.

Finde ich gut, somit behält man leichter die Übersicht und kann sich ein bisschen besser darauf einstellen 

[Tobias]

Wie werden solche Patches und Updates eigentlich verteilt, ich nehme an, man muß bei Cisco registriert sein, oder ? Gibt es eine Mailingliste oder eine Möglichkeit, in der ich nach Bugs in einer bestimmten IOS-Version suchen kann ?

Unser toller ISP hatte mir mal auf die Frage nach Updates bzw. Bugfixes geantwortet, ich solle ihnen doch Bescheid geben, wenn ich mal was bei heise.de (oder war's Computer Bild ) darüber lese... andernfalls ein Update an die 350 bis 450 Euro netto kosten solle. Ich glaube, dazu ist wohl kein weiterer Kommentar fällig...

[rc.d]

Wie werden solche Patches und Updates eigentlich verteilt, ich nehme an, man muß bei Cisco registriert sein, oder ? Gibt es eine Mailingliste oder eine Möglichkeit, in der ich nach Bugs in einer bestimmten IOS-Version suchen kann ?

Unser toller ISP hatte mir mal auf die Frage nach Updates bzw. Bugfixes geantwortet, ich solle ihnen doch Bescheid geben, wenn ich mal was bei heise.de (oder war's Computer Bild ) darüber lese... andernfalls ein Update an die 350 bis 450 Euro netto kosten solle. Ich glaube, dazu ist wohl kein weiterer Kommentar fällig...

um nach bugs zu suchen, gibt es auf cisco.com sehr wohl moeglichkeiten. im bug toolkit kannst z.b. nach plattform oder auch ios die bugs suchen... ob es sowas wie eine mailinglist gibt bin ich ueberfragt. fuer die ips gibt es z.b. zur benachrichtigung per mail wenn ein neues signature set rauskommt.

das ganze erfordert allerdings einen cisco.com account. also einfach mal registrieren, vielleicht kommst dann auf diese tools zu... am besten waere es mit einem cisco partner (nicht eurem isp) einen pica account zu machen, da kommt man fast ueberall hin.

ohne cco registrierung findest sicher auf der full-disclosure mailing list hin und wieder cisco security leaks. allerdings wird man da auch mit einem haufen anderen dingen "belaestigt".

falls jemand genauere infos ueber cco accounts hat, kann er die ja mal posten

und zum isp sagen wir mal gar nix /*no comment*/ 

[Tobias]

falls jemand genauere infos ueber cco accounts hat, kann er die ja mal posten Smiley

Also das ist jetzt schon einige Zeit her, aber als ich den Router habe registrieren lassen bei Cisco, wurde mir sogar telefonisch mitgeteilt, daß wir keinen CCO-Account bekommen könnten, weil das alles über den Händler abgewickelt wird.

Naja, so die grundlegensten Bugs bekommt man ja mit einigem Suchen bei cisco.com mit (z.B. Bug im FTP-Dienst). Ich werde mich bei Gelegenheit mal versuchen, mit unserem Gast-Account Zugriff auf diese Bereiche zu kriegen.

Wie hoch ist denn eigentlich das generelle Risiko, Opfer des Mißbrauchs eines Bugs zu werden ? Habt Ihr da schon Erfahrungen mit machen müssen ?

[rc.d]

Wie hoch ist denn eigentlich das generelle Risiko, Opfer des Mißbrauchs eines Bugs zu werden ? Habt Ihr da schon Erfahrungen mit machen müssen ?

*lach* naja, meist wurde ich opfer vom bug selbst als von einem angreifer der den bug genuetzt hat. erinnere mich an ein "show interface capabilities" der zum reboot eines cat45xx fuehrte oder ein cdp bug der bei laufendem cdp zu einem memory ueberlauf fuehrte.

allerdings waren die ganzen geraete nie direkt vom internet erreichbar.... wuerde meinen, dass das risiko bei einem internet router ungleich hoeher ist. die frage ist hald, ob nicht ein konfigurationsfehler die groeszere gefahr ist!?

vielleicht kann uns ja #9370 seine erfahrungen erleutern

[Zwerg#7]

Gibt es eine Mailingliste oder eine Möglichkeit, in der ich nach Bugs in einer bestimmten IOS-Version suchen kann ?

Wenn du keinen CCO-Account hast, wie rc.d geschrieben hat, dann kannst du mit Nipper zumindest dein aktuelles IOS bewerten lassen