CERT Polska w komunikacie z 6 sierpnia opisuje krytyczne podatności Cisco IOS XE i przypomina, że oprogramowanie działa w wielu rodzajach urządzeń. Pakiet poprawek obejmuje siedem nowych luk. Dla organizacji używającej IOS XE zadanie zaczyna się od powiązania wersji systemu z konkretnymi urządzeniami, a kończy sprawdzeniem wyników aktualizacji.

Czy odpowiedź „mamy IOS XE w spisie” pozwala wskazać urządzenia wymagające sprawdzenia po takim ostrzeżeniu? Wyobraźmy sobie ewidencję, w której zapisano nazwę oprogramowania, ale nie przypisano jej do poszczególnych urządzeń ani ich wersji. To hipotetyczny test użyteczności spisu, nie opis zaniedbania ujawnionego przez CERT Polska. Spróbujmy na jego podstawie wyznaczyć zakres prac: które pozycje trzeba zweryfikować, kto odczyta wersję i gdzie zapisze wynik? Przy IOS XE proponujemy oceniać ewidencję właśnie przez możliwość udzielenia takich odpowiedzi. Wpis o używaniu systemu potraktujmy jako początek ustaleń. Do decyzji o zmianach przygotujmy listę urządzeń z przypisanym oprogramowaniem oraz jawnymi brakami danych, które administrator ma uzupełnić.

Siedem luk wymaga ustalenia zakresu używania IOS XE

Według komunikatu CERT Polska opisane krytyczne błędy dotyczą zdalnego wykonania kodu oraz kontroli dostępu. Łącznie pakiet poprawek obejmuje siedem nowych podatności. Zachowajmy to rozróżnienie w informacji dla zespołu: nie przedstawiajmy wszystkich siedmiu luk jako błędów tego samego rodzaju.

Drugim ustaleniem CERT Polska jest obecność IOS XE w wielu rodzajach urządzeń. Dlatego w przeglądzie proponujemy wyszukiwać także nazwę oprogramowania. Nie kończmy ustalania zakresu po odnalezieniu urządzenia, które jako pierwsze skojarzyło się z komunikatem. Każdą odnalezioną pozycję połączmy z wersją systemu, a następnie zapiszmy wynik oceny, czy wymaga zmiany.

Dla IOS XE rozdzielmy w ewidencji rozpoznanie systemu, ustalenie wersji i potwierdzenie podatności. Jeśli znamy tylko nazwę oprogramowania, pozostawmy ocenę konkretnego urządzenia otwartą. Nie wpisujmy numeru wersji na podstawie danych sąsiedniej pozycji. Zlećmy administratorowi sprawdzenie brakującej informacji i zachowajmy możliwość wskazania, z którego urządzenia pochodzi odczyt.

Spis urządzeń z IOS XE powinien prowadzić od nazwy systemu do wersji i wyniku sprawdzenia każdej pozycji.

Sprawdź, czy procedura kończy się odczytem wersji

Przetestujmy własną procedurę aktualizacji IOS XE na prostym pytaniu: jaki zapis pozwoli osobie odbierającej zadanie uznać je za wykonane? Zaproponujmy identyfikator urządzenia, wersję przed zmianą, wersję po zmianie oraz datę sprawdzenia. Jeżeli zgłoszenie zawiera wyłącznie deklarację „zaktualizowano”, poprośmy o uzupełnienie jej tymi danymi.

Przy IOS XE sprawdźmy również, czy lista urządzeń w zadaniu aktualizacyjnym odpowiada zakresowi ustalonemu w ewidencji. Jeśli podczas weryfikacji odnajdziemy kolejną pozycję z tym systemem, dopiszmy ją do przeglądu i określmy jej stan. Nie oznaczajmy całej listy jako zakończonej na podstawie wyniku dotyczącego wybranego urządzenia.

To proponowany sposób kontroli pracy z IOS XE. Nie przypisujmy opisanej hipotetycznie luki w ewidencji żadnej firmie ani administratorowi. Własną procedurę oceńmy na podstawie dostępnych zapisów: czy wskazują urządzenie, czy zawierają sprawdzoną wersję i czy dokumentują wynik zmiany? Tam, gdzie odpowiedzi brakuje, utwórzmy zadanie uzupełnienia danych z przypisanym wykonawcą.

Dla każdej aktualizowanej pozycji z IOS XE uzgodnijmy także, kto potwierdzi działanie urządzenia po zmianie i gdzie zapisze wynik tego sprawdzenia. Zakres kontroli powierzmy osobie odpowiedzialnej za dane urządzenie. Nie zastępujmy jej ustaleń zbiorczą deklaracją, że wszystkie prace przebiegły prawidłowo.

Kolejność zmian IOS XE wymaga uzasadnienia

W informacji dla zarządu proponujemy pokazać urządzenia z IOS XE, dla których ustalono potrzebę aktualizacji, oraz pozycje nadal wymagające weryfikacji. Przy każdej zapiszmy osobę odpowiedzialną i następne działanie. Nie łączmy braku danych z potwierdzeniem, że zmiana jest zbędna.

Kolejność aktualizacji IOS XE ustalmy z administratorami i osobami odpowiedzialnymi za działanie urządzeń. Poprośmy ich o wskazanie roli każdej pozycji oraz warunków wykonania zmiany. Na tej podstawie przygotujmy uzasadnienie kolejności prac. Jeśli brakuje informacji potrzebnej do decyzji, przypiszmy jej zebranie konkretnej osobie, zamiast przyjmować kolejność wynikającą z ułożenia wierszy w spisie.

Przy planie IOS XE oddzielmy termin wykonania aktualizacji od terminu sprawdzenia jej wyniku. Uzgodnijmy, kto zbierze potwierdzenia i kto rozstrzygnie sprawy pozostawione jako nieustalone. W raporcie pokażmy wykonane zmiany i urządzenia czekające na odczyt wersji lub decyzję o dalszych pracach.

Nie dopisujmy do oceny IOS XE kwot potencjalnych strat ani przewidywanego czasu przerwy bez danych dotyczących własnych urządzeń. Jeśli decyzja wymaga oszacowania kosztu prac, zlećmy je osobie odpowiedzialnej za ich wykonanie. W uzasadnieniu kolejności oddzielmy dane potwierdzone od tych, które pozostają do ustalenia.

Za zakończenie aktualizacji IOS XE uznajmy sprawdzony wynik przypisany do urządzenia.

Ostrzeżenie CERT Polska przełóż na własny spis

Polskim punktem odniesienia jest komunikat CERT Polska z 6 sierpnia. W wewnętrznej wiadomości zachowajmy nazwę IOS XE, informację o wielu rodzajach urządzeń oraz zakres opisanych błędów. Dołączmy prośbę o sprawdzenie własnej ewidencji i wskazanie osoby, która zbierze wyniki.

W komunikacji o IOS XE nie przypisujmy polskim organizacjom konkretnych incydentów na podstawie samego ostrzeżenia o podatnościach. Skupmy prośbę do administratorów na ustaleniach dotyczących naszej listy: urządzeniu, odczytanej wersji, potrzebnej zmianie i jej potwierdzeniu. Tak przygotowaną odpowiedź wykorzystajmy do aktualizacji spisu oraz planu prac.

Co z tym zrobić w poniedziałek

Każdy z poniższych kroków ogranicz do 30 minut. Przy IOS XE potraktuj je jako przygotowanie przeglądu lub zebranie dostępnych wyników; wykonanie aktualizacji zaplanuj osobno.

  1. Znajdź IOS XE w ewidencji. Z dostępnych wpisów przygotuj listę urządzeń i zapisanych wersji systemu. Braki oznacz jako nieustalone i przypisz ich sprawdzenie administratorowi. Po upływie wyznaczonego czasu zapisz także zakres, którego nie udało się przejrzeć.
  2. Przygotuj kolejność decyzji. Dla zebranych pozycji z IOS XE wskaż odpowiedzialne osoby. Zapisz proponowaną kolejność prac i dostępne uzasadnienia; tam, gdzie brakuje danych, przygotuj prośbę o ich uzupełnienie przed zatwierdzeniem planu.
  3. Przejrzyj dostępne potwierdzenie aktualizacji. Wybierz zakończone zadanie dotyczące IOS XE i sprawdź, czy wskazuje urządzenie, wersję po zmianie oraz wynik kontroli działania. Jeśli takiego zadania jeszcze nie ma, przygotuj miejsce na te dane w planowanych pracach.

Przy IOS XE przyjmijmy sprawdzalność każdego wpisu jako warunek użyteczności ewidencji. Żądajmy takiego zapisu wyniku aktualizacji, który pozwoli wrócić do konkretnego urządzenia i potwierdzonej wersji. Otwarte ustalenia pozostawmy widoczne także wtedy, gdy część prac już odebrano.

Źródła

  1. CERT Polska: Krytyczne podatności w Cisco IOS XE, publikacja: 6 sierpnia 2026.

Redakcja cyberinsight.pl.