CISCO Firepower Management Center hitelesítés megkerüléses sérülékenység
Angol cím: CISCO Firepower Management Center authentication bypass vulnerability
CH azonosító: CH-14762
Publikálás dátuma: 2020.01.23.
Utolsó módosítás dátuma: 2020.01.23.
Leírás
A CVE-2019-16028 számon a CISCO FMC webalapú biztonsági központjának kritikus kockázati besorolású sérülékenysége vált ismertté, amelyen keresztül a jogosultsággal nem rendelkező, távoli támadó tetszőleges parancsokat futtathat – adminisztrátori jogosultsággal – az érintett eszközön.
Leírás forrása: Gyártói referencia: tools.cisco.com Leírás utolsó módosítása: 2020.01.23.Elemzés leírás
A CISCO Firepower Management Center webalapú hozzáférést biztosít a CISCO rendszerek biztonsági felügyeletéhez, ide értve az URL szűrést, a tűzfalak, valamint a káros szoftverek elleni védelem kezelését is.
A sérülékenység a külső szerverről beérkező LDAP hitelesítés nem megfelelő kezelésből fakad. Az LDAP (Lightweight Directory Access Protocol) egy egyszerűsített címtárhozzáférési protokoll. Fa struktúrára alapuló adatbáziskezelést valósít meg. Az LDAP sokféle feladatra használható, például a felhasználók és csoportok felügyeletének központosítására, a rendszerkonfigurációs adatok kezelésének megkönnyítésére, vagy akár egyszerű címjegyzékek kezelésére is.
A jogosultsággal nem rendelkező, távoli támadónak a sikeres kihasználáshoz egy speciálisan kialakított HTTP kérést kell küldenie az érintett eszköz irányába. Sikeres kihasználás esetén a támadó adminisztrátori jogosultságot szerezhet az érintett eszközön.
Érintett verzió: 6.5.0 előtti verziók
A gyártó honlapján közzétette a hibák javításait tartalmazó frissítéseket.
Elemzés leírás forrása: Gyártói referencia: tools.cisco.com Elemzés leírás utolsó módosítása: 2020.01.23.Hatás
CVSS3 Súlyosság és Metrika
Base score: 9.8 (Kritikus)
Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Impact Score:
Exploitability Score:
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C):
Integrity Impact (I):
Availability Impact (A):
