Cisco IOS és Cisco IOS XE CSRF sérülékenység
Angol cím: Cisco IOS and Cisco IOS XE CSRF vulnerability
CH azonosító: CH-14745
Publikálás dátuma: 2020.01.09.
Utolsó módosítás dátuma: 2020.01.09.
Leírás
A CVE-2019-16009 számon a Cisco IOS és CISCO IOS XE operációs rendszert érintő, magas kockázati besorolású sérülékenység vált ismertté, amely kihasználásával Cross Site Request Forgery (oldalon keresztüli kéréshamisítás) támadás indítható.
Leírás forrása: Gyártói referencia: tools.cisco.com Leírás utolsó módosítása: 2020.01.09.Elemzés leírás
A Cisco IOS és CISCO IOS XE vállalati hálózatoknál alkalmazott operációs rendszer. A most ismertetett sérülékenység a CISCO web UI nem megfelelő CSRF védelméből fakad. A támadó akkor tudja kihasználni a sérülékenységet, ha a web UI felületre bejelentkezett felhasználó megnyit egy átalakított linket. Sikeres kihasználás esetén a támadó tetszőleges parancsokat hajthat végre a megtámadott felhasználó jogosultsági szintjével megegyezően. Adminisztrátori hozzáférés esetén a támadó módosíthatja a rendszerbeállításokat, illetve akár az érintett eszközt is leállíthatja, vagy újraindításra kényszerítheti.
A gyártó javaslatai:
- A sikeres támadás hatásainak csökkentése érdekében az összes szoftvert nem privilegizált felhasználóként futtassa.
- Soha ne keressen fel megbízhatatlan webhelyeket, ne kattintson ismeretlen, vagy nem megbízható forrásokból származó linkekre.
- Alkalmazza a “legkisebb kiváltság” elvét.
Érintett verzió: Cisco IOS és Cisco IOS XE 16.1.1 és korábbi verziók.
A gyártó honlapján közzétette a hiba javítását tartalmazó frissítést.
Elemzés leírás forrása: Gyártói referencia: tools.cisco.com Elemzés leírás utolsó módosítása: 2020.01.09.Hatás
CVSS3 Súlyosság és Metrika
Alap pontszám: 8.8 (Magas)
Vektor: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Hatás pontszáma:
Kihasználhatóság pontszáma:
Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Szükséges
Hatókör (S): Nem változott
Bizalmasság Hatása (C):
Sértetlenség Hatása (I):
Rendelkezésre állás Hatása (A):
Hivatkozások
Gyártói referencia: tools.cisco.com
Egyéb referencia: www.symantec.com
Egyéb referencia: www.cybersecurity-help.cz
