CISCO Firepower Management Center hitelesítés megkerüléses sérülékenység

CH azonosító: CH-14762
Cím: CISCO Firepower Management Center hitelesítés megkerüléses sérülékenység
Angol cím: CISCO Firepower Management Center authentication bypass vulnerability

Publikálás dátuma: 2020.01.23.
Utolsó módosítás dátuma: 2020.01.23.


Leírás

A CVE-2019-16028 számon a CISCO FMC webalapú biztonsági központjának kritikus kockázati besorolású sérülékenysége vált ismertté, amelyen keresztül a jogosultsággal nem rendelkező, távoli támadó tetszőleges parancsokat futtathat – adminisztrátori jogosultsággal – az érintett eszközön.


Leírás forrása: Gyártói referencia: tools.cisco.com
Leírás utolsó módosítása: 2020.01.23.


Elemzés leírás

A CISCO Firepower Management Center webalapú hozzáférést biztosít a CISCO rendszerek biztonsági felügyeletéhez, ide értve az URL szűrést, a tűzfalak, valamint a káros szoftverek elleni védelem kezelését is.

A sérülékenység a külső szerverről  beérkező LDAP hitelesítés nem megfelelő kezelésből fakad. Az LDAP (Lightweight Directory Access Protocol) egy egyszerűsített címtárhozzáférési protokoll. Fa struktúrára alapuló adatbáziskezelést valósít meg. Az LDAP sokféle feladatra használható, például a felhasználók és csoportok felügyeletének központosítására, a rendszerkonfigurációs adatok kezelésének megkönnyítésére, vagy akár egyszerű címjegyzékek kezelésére is.

A jogosultsággal nem rendelkező, távoli támadónak a sikeres kihasználáshoz egy speciálisan kialakított HTTP kérést kell küldenie az érintett eszköz irányába. Sikeres kihasználás esetén a támadó adminisztrátori jogosultságot szerezhet az érintett eszközön.

Érintett verzió: 6.5.0 előtti verziók

A gyártó honlapján közzétette a hibák javításait tartalmazó frissítéseket.


Elemzés leírás forrása: Gyártói referencia: tools.cisco.com
Elemzés leírás utolsó módosítása: 2020.01.23.


Hatás

CVSS3 Súlyosság és Metrika

Alap pontszám: 9.8 (Kritikus)
Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Hatás pontszáma:
Kihasználhatóság pontszáma:


Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Nincs
Hatókör (S): Nem változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Magas
Rendelkezésre állás Hatása (A): Magas

CVSS2 Súlyosság és Metrika

Alap pontszám: (Nincs)
Vektor:
Hatás alpontszáma:
Kihasználhatóság alpontszáma:




Hivatkozások

Gyártói referencia: tools.cisco.com
CVE-2019-16028 - NVD CVE-2019-16028