Cisco EPN Manager távoli kódfuttatásos sérülékenység

CH azonosító: CH-14727 Cím: Cisco EPN Manager távoli kódfuttatásos sérülékenység Angol cím: Cisco EPN Manager RCE Vulnerability

Publikálás dátuma: 2019.11.07. Utolsó módosítás dátuma: 2019.11.07.


Leírás

A CVE-2019-15958 számon a Cisco Prime Infrastructure (PI) és a Cisco Evolved Programmable Network Manager (EPNM) REST API magas kockázati besorolású sérülékenysége vált ismertté, amelyen keresztül a jogosultsággal nem rendelkező, távoli támadó rendszergazdai jogosultsággal tetszőleges kódot futtathat a rendszeren.

Leírás forrása: Gyártói referencia: tools.cisco.com Leírás utolsó módosítása: 2019.11.07.


Elemzés leírás

A Cisco EPN Manager egy egyszerűsített és költséghatékony eszközkezelési, adminisztrációs, hálózati kiépítési és hálózatbiztosítási menedzsment megoldás. Az EPN Manager biztosítja a Carrier Ethernet teljes körű hálózatkezelését, az optikai adatátvitelt és az áramkör-emulációt csomagkapcsolt hálózatokon keresztül.

A sebezhetőség oka az adatok nem megfelelő érvényesítése az érintett eszköz kezdeti High Availability (HA – magas rendelkezésre állású) konfigurációs és regisztrációs folyamata során. A támadó kihasználhatja ezt a biztonsági rést egy rosszindulatú fájl feltöltésével ebben az időszakban, amely lehetővé teheti a számára, hogy tetszőleges kódot futtasson a rendszeren rendszergazdai jogosultsággal. A sebezhetőséget csak a HA regisztrációs időszakában lehet kihasználni.

A sérülékenység az alábbi és az újabb Cisco PI Software verziókban javításra kerültek:

  • 3.4.2
  • 3.5.1
  • 3.6.0 Update 02
  • 3.7.0

A sérülékenység az alábbi és az újabb Cisco EPNM verziókban javításra kerültek:

  • 3.0.2
  • 3.1

A gyártó honlapján közzétette a hibák javításait tartalmazó frissítéseket.

Elemzés leírás forrása: Gyártói referencia: tools.cisco.com Elemzés leírás utolsó módosítása: 2019.11.07.


Hatás

CVSS3 Severity and Metrics

Base score: 8,1 (Magas)
Vector: N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E
Impact Score:
Exploitability Score:


Attack Complexity (AC): High
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C): High
Integrity Impact (I): High
Availability Impact (A): High

CVSS2 Severity and Metrics

Base score: (Nincs)
Vector:
Impact Subscore:
Exploitability Subscore:




Hivatkozások

Gyártói referencia: tools.cisco.com
Egyéb referencia: nvd.nist.gov
CVE-2019-15958 - NVD CVE-2019-15958