Cisco IOS XEソフトウェアのREST APIコンテナにおける認証バイパスの脆弱性

critical Nessus プラグイン ID 128325

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません

説明

自己報告されたバージョンによると、Cisco IOS XEソフトウェアは、Cisco IOS XEソフトウェアのCisco REST API仮想サービスコンテナの脆弱性の影響を受け、認証されていないリモートの攻撃者が管理対象のCisco IOS XEデバイスで認証をバイパスする可能性があります。
この脆弱性は、REST API認証サービスを管理するコードの領域によって実行される不適切なチェックによるものです。攻撃者がこの脆弱性を悪用し、標的のデバイスに悪意のあるHTTPリクエストを送信する可能性があります。悪用に成功すると、攻撃者は認証されたユーザーのトークンIDを取得する可能性があります。このトークンIDは、認証をバイパスし、影響を受けるCisco IOS XEデバイス上のREST API仮想サービスコンテナのインターフェースを介して権限のあるアクションを実行するために利用される可能性があります。REST APIインターフェースはデフォルトで有効になっていないため、IOS XEデバイスに個別にインストールしてアクティブにする必要があります。詳細については、「詳細」セクションを参照してください。