Cisco EPN Manager távoli kódfuttatásos sérülékenység

CH azonosító: CH-14727
Cím: Cisco EPN Manager távoli kódfuttatásos sérülékenység
Angol cím: Cisco EPN Manager RCE Vulnerability

Publikálás dátuma: 2019.11.07.
Utolsó módosítás dátuma: 2019.11.07.


Leírás

A CVE-2019-15958 számon a Cisco Prime Infrastructure (PI) és a Cisco Evolved Programmable Network Manager (EPNM) REST API magas kockázati besorolású sérülékenysége vált ismertté, amelyen keresztül a jogosultsággal nem rendelkező, távoli támadó rendszergazdai jogosultsággal tetszőleges kódot futtathat a rendszeren.


Leírás forrása: Gyártói referencia: tools.cisco.com
Leírás utolsó módosítása: 2019.11.07.


Elemzés leírás

A Cisco EPN Manager egy egyszerűsített és költséghatékony eszközkezelési, adminisztrációs, hálózati kiépítési és hálózatbiztosítási menedzsment megoldás. Az EPN Manager biztosítja a Carrier Ethernet teljes körű hálózatkezelését, az optikai adatátvitelt és az áramkör-emulációt csomagkapcsolt hálózatokon keresztül.

A sebezhetőség oka az adatok nem megfelelő érvényesítése az érintett eszköz kezdeti High Availability (HA – magas rendelkezésre állású) konfigurációs és regisztrációs folyamata során. A támadó kihasználhatja ezt a biztonsági rést egy rosszindulatú fájl feltöltésével ebben az időszakban, amely lehetővé teheti a számára, hogy tetszőleges kódot futtasson a rendszeren rendszergazdai jogosultsággal. A sebezhetőséget csak a HA regisztrációs időszakában lehet kihasználni.

A sérülékenység az alábbi és az újabb Cisco PI Software verziókban javításra kerültek:

  • 3.4.2
  • 3.5.1
  • 3.6.0 Update 02
  • 3.7.0

A sérülékenység az alábbi és az újabb Cisco EPNM verziókban javításra kerültek:

  • 3.0.2
  • 3.1

A gyártó honlapján közzétette a hibák javításait tartalmazó frissítéseket.


Elemzés leírás forrása: Gyártói referencia: tools.cisco.com
Elemzés leírás utolsó módosítása: 2019.11.07.


Hatás

CVSS3 Súlyosság és Metrika

Alap pontszám: 8,1 (Magas)
Vektor: N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E
Hatás pontszáma:
Kihasználhatóság pontszáma:


Támadás komplexitása (AC): Magas
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Nincs
Hatókör (S): Nem változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Magas
Rendelkezésre állás Hatása (A): Magas

CVSS2 Súlyosság és Metrika

Alap pontszám: (Nincs)
Vektor:
Hatás alpontszáma:
Kihasználhatóság alpontszáma:




Hivatkozások

Gyártói referencia: tools.cisco.com
Egyéb referencia: nvd.nist.gov
CVE-2019-15958 - NVD CVE-2019-15958