Cisco Secure Access Control System sérülékenységek

CH azonosító

CH-9530

Angol cím

Cisco Secure Access Control System Multiple Vulnerabilities

Felfedezés dátuma

2013.07.15.

Súlyosság

Alacsony

Érintett rendszerek

CISCO
Secure ACS

Érintett verziók

Cisco Secure Access Control System (ACS) 5.x

Összefoglaló

A Cisco Secure Access Control System több sérülékenységét jelentették, amelyet kihasználva a rosszindulatú felhasználók bizonyos rendszerinformációkat fedhetnek fel, a támadók pedig cross-site scripting (CSS/XSS) és request forgery (CSRF/XSRF) támadásokat hajthatnak végre.

Leírás

  1. A help index laphoz kötődő, bizonyos bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatban.
  2. Az adminisztrációs lappal kapcsolatos bizonyos bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatban.

    Az 1) és 2) sérülékenységeket az 5.3 és 5.4 verziókban jelentették, de más kiadások is érintettek lehetnek.

  3. A web interface komponensen belüli nem részletezett hiba kihasználható részletes hibaüzenet információ felfedésére.
  4. Az alkalmazás lehetővé teszi, hogy a felhasználók bizonyos tevékenységeket HTTP kéréseken keresztül hajtsanak végre a jogosultságok megfelelő ellenőrzése nélkül. Ez kihasználható bizonyos nem részletezett tevékenységek elvégzésére a felhasználó érdekében, ha a bejelentkezett felhasználó meglátogat egy speciálisan formázott weboldalt.
  5. Bizonyos nem részletezett bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatban.

    A 3) – 5) sérülékenységeket az 5.4.0.46.3 és korábbi verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Hivatkozások

CVE-2013-3421 - NVD CVE-2013-3421
CVE-2013-3422 - NVD CVE-2013-3422
CVE-2013-3423 - NVD CVE-2013-3423
CVE-2013-3424 - NVD CVE-2013-3424
CVE-2013-3428 - NVD CVE-2013-3428
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
SECUNIA 54200