Cisco выпустила пять предупреждений о недостатках безопасности в своих предложениях SD-WAN, три из которых относятся к высокому уровню шкалы уязвимости.
Худшая проблема связана с интерфейсом командной строки (CLI) Cisco написала, что ее уязвимость может позволить локальному злоумышленнику вводить произвольные команды, которые выполняются с привилегиями root.
Злоумышленник может воспользоваться этой уязвимостью, которая имеет 7,8, если 10 на 10 Общая система оценки уязвимостей — путем аутентификации на устройстве и передачи созданного ввода в утилиту CLI. Злоумышленник должен пройти проверку подлинности для доступа к утилите CLI. Уязвимость связана с недостаточной проверкой входных данных, пишет Cisco.
Еще одна проблема с высоким уровнем предупреждения позволяет аутентифицированному локальному злоумышленнику повысить привилегии до уровня root в базовой операционной системе. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный запрос в уязвимую систему. Cisco пишет, что успешный эксплойт может позволить злоумышленнику получить привилегии корневого уровня. Уязвимость вызвана недостаточной проверкой входных данных.
Третья уязвимость высокого уровня в программном обеспечении SD-WAN Solution может позволить злоумышленнику вызвать переполнение буфера на уязвимом устройстве. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный трафик на уязвимое устройство. Успешная эксплуатация может позволить злоумышленнику получить доступ к информации, к которой у него нет прав доступа, и внести изменения в систему, к которой у него нет прав, пишет Cisco.
Уязвимости затрагивают ряд продуктов Cisco. если они используют выпуск программного обеспечения Cisco SD-WAN Solution ранее, чем Выпуск 19.2.2: программное обеспечение vBond Orchestrator, маршрутизаторы серии vEdge 100-5000, система сетевого управления vManage и программное обеспечение контроллера vSmart.
Cisco заявила, что не было Обходные пути для устранения любой из уязвимостей, и он предлагает пользователям принимать автоматические обновления программного обеспечения для снижения рисков использования. Есть программные исправления для проблем, а также.
Все три из предупреждений высокого уровня были переданы в Cisco группой Orange, сообщила Cisco.
Два других предупреждения программного обеспечения SD-WAN Solution — со средними уровнями угрозы — включают в себя: тот, который допускает атаку межсайтовых сценариев (XSS) на веб-интерфейс управления программным обеспечением vManage и угрозу внедрения SQL.
Уязвимость SQL существует из-за того, что веб-интерфейс неправильно проверяет значения SQL. Злоумышленник может воспользоваться этой уязвимостью, выполнив аутентификацию в приложении и отправив вредоносные запросы SQL в уязвимую систему. «Удачный эксплойт может позволить злоумышленнику изменять значения или возвращать значения из базовой базы данных, а также операционной системы», — пишет Cisco.
Cisco признала Жюльена Легра и Томаса Этрилларда из Synacktiv за сообщение о проблемах.
Компания сообщила, что выпуск 19.2.2 Cisco SD-WAN Solution содержит исправления для всех пяти уязвимостей.
Эта статья «Cisco предупреждает о пяти недостатках безопасности SD-WAN» была первоначально опубликована
Сетевой мир .
