Cisco EPN Manager távoli kódfuttatásos sérülékenység
Angol cím: Cisco EPN Manager RCE Vulnerability
CH azonosító: CH-14727
Publikálás dátuma: 2019.11.07.
Utolsó módosítás dátuma: 2019.11.07.
Leírás
A CVE-2019-15958 számon a Cisco Prime Infrastructure (PI) és a Cisco Evolved Programmable Network Manager (EPNM) REST API magas kockázati besorolású sérülékenysége vált ismertté, amelyen keresztül a jogosultsággal nem rendelkező, távoli támadó rendszergazdai jogosultsággal tetszőleges kódot futtathat a rendszeren.
Leírás forrása: Gyártói referencia: tools.cisco.com Leírás utolsó módosítása: 2019.11.07.Elemzés leírás
A Cisco EPN Manager egy egyszerűsített és költséghatékony eszközkezelési, adminisztrációs, hálózati kiépítési és hálózatbiztosítási menedzsment megoldás. Az EPN Manager biztosítja a Carrier Ethernet teljes körű hálózatkezelését, az optikai adatátvitelt és az áramkör-emulációt csomagkapcsolt hálózatokon keresztül.
A sebezhetőség oka az adatok nem megfelelő érvényesítése az érintett eszköz kezdeti High Availability (HA – magas rendelkezésre állású) konfigurációs és regisztrációs folyamata során. A támadó kihasználhatja ezt a biztonsági rést egy rosszindulatú fájl feltöltésével ebben az időszakban, amely lehetővé teheti a számára, hogy tetszőleges kódot futtasson a rendszeren rendszergazdai jogosultsággal. A sebezhetőséget csak a HA regisztrációs időszakában lehet kihasználni.
A sérülékenység az alábbi és az újabb Cisco PI Software verziókban javításra kerültek:
- 3.4.2
- 3.5.1
- 3.6.0 Update 02
- 3.7.0
A sérülékenység az alábbi és az újabb Cisco EPNM verziókban javításra kerültek:
- 3.0.2
- 3.1
A gyártó honlapján közzétette a hibák javításait tartalmazó frissítéseket.
Elemzés leírás forrása: Gyártói referencia: tools.cisco.com Elemzés leírás utolsó módosítása: 2019.11.07.Hatás
CVSS3 Súlyosság és Metrika
Alap pontszám: 8,1 (Magas)
Vektor: N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E
Hatás pontszáma:
Kihasználhatóság pontszáma:
Támadás komplexitása (AC): Magas
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Nincs
Hatókör (S): Nem változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Magas
Rendelkezésre állás Hatása (A): Magas
Hivatkozások
Gyártói referencia: tools.cisco.com
Egyéb referencia: nvd.nist.gov
CVE-2019-15958 - NVD CVE-2019-15958