Cisco IOS XEソフトウェア蓄積型XSS（cisco-sa-20190925-xss）

medium Nessus プラグイン ID 129777

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません

説明

自己報告されたバージョンによると、Cisco IOS XEソフトウェアは、そのWebフレームワークコードで蓄積型クロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。これにより、認証されていないリモートの攻撃者が、影響を受けるソフトウェアのWebインターフェースのユーザーに対して蓄積型XSS攻撃を仕掛ける可能性があります。この脆弱性は、影響を受けるソフトウェアのWebサーバーに渡される一部のパラメーターの入力検証が不十分であることが原因です。攻撃者がこの脆弱性を悪用し、Webインターフェースのユーザーを誘導して悪意のあるリンクにアクセスさせるか、影響を受けるWebインターフェースのユーザーリクエストを傍受し、リクエストに悪意のあるコードを挿入する可能性があります。悪用に成功すると、攻撃者が影響を受けるWebインターフェースのコンテキストで任意のスクリプトコードを実行したり、ブラウザベースの秘密性情報にアクセスしたりする可能性があります。

詳細については、付属の Cisco BID および Cisco Security Advisory を参照してください。

Nessus はこの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。