Wiele podatności typu cross-site request forgery (CSRF) w Cisco Expressway Series oraz Cisco TelePresence Video Communication Server (VCS) umożliwia nieuwierzytelnionemu zdalnemu atakującemu wykonanie dowolnych działań na urządzeniu. Podatność jest krytyczna ze względu na brak wymagania jakiegokolwiek uwierzytelnienia po stronie atakującego oraz szeroki zakres możliwych konsekwencji.
▸ Pokaż oryginał (EN)
Multiple vulnerabilities in Cisco Expressway Series and Cisco TelePresence Video Communication Server (VCS) could allow an unauthenticated, remote attacker to conduct cross-site request forgery (CSRF) attacks that perform arbitrary actions on an affected device. Note: "Cisco Expressway Series" refers to Cisco Expressway Control (Expressway-C) devices and Cisco Expressway Edge (Expressway-E) devices. For more information about these vulnerabilities, see the Details ["#details"] section of this advisory.
Atakujący przygotowuje złośliwą stronę internetową lub spreparowany link, który po odwiedzeniu przez uwierzytelnionego użytkownika (np. administratora) powoduje wysłanie nieautoryzowanych żądań HTTP do dotkniętego urządzenia. Urządzenie, nie weryfikując poprawnie pochodzenia żądania, traktuje je jako uprawnione i wykonuje zawarte w nim polecenia w kontekście sesji ofiary. W ten sposób atakujący może przeprowadzić dowolne działania administracyjne bez posiadania własnych poświadczeń.
Atakujący może wykonać dowolne, nieautoryzowane działania na urządzeniu w kontekście uprawnień zalogowanego użytkownika — w tym modyfikację konfiguracji, tworzenie kont administracyjnych lub naruszenie poufności, integralności i dostępności systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w biuletynie Cisco Security Advisory (cisco-sa-expressway-csrf-KnnZDMj3). Dodatkowo zaleca się ograniczenie dostępu do interfejsu administracyjnego wyłącznie do zaufanych sieci oraz stosowanie mechanizmów uwierzytelniania wieloskładnikowego.
Cisco Expressway Control (Expressway-C), Cisco Expressway Edge (Expressway-E) oraz Cisco TelePresence Video Communication Server (VCS) — konkretne wersje wskazane w referencjach producenta
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HCisco Expressway
APPCisco≤ 15.0
Powiązane podatności
CSRF w Cisco Expressway i TelePresence VCS umożliwiający zdalne działania
Multiple vulnerabilities in the API and in the web-based management interface of Cisco Expressway Series and C...
Multiple vulnerabilities in the API and in the web-based management interface of Cisco Expressway Series and C...
A vulnerability in the SOAP API of Cisco Expressway Series and Cisco TelePresence Video Communication Server c...
Linux kernel versions 4.9+ can be forced to make very expensive calls to tcp_collapse_ofo_queue() and tcp_prun...