Cisco IOS XEソフトウェアの蓄積型バナーXSS（cisco-sa-20190925-sbxss）

medium Nessus プラグイン ID 129826

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません

説明

自己報告されたバージョンによると、Cisco IOS XEソフトウェアは、クロスサイトスクリプティングの脆弱性の影響を受けます。これにより、認証されたリモートの攻撃者が、バナーパラメーターを使用している影響を受けるソフトウェアのWebインターフェースのユーザーに対して、蓄積型クロスサイトスクリプティング（XSS）攻撃を実行する可能性があります。この脆弱性は、影響を受けるソフトウェアのWebサーバーに渡されるバナーパラメーターの入力検証が不十分であることが原因です。攻撃者がこの脆弱性を悪用し、バナーパラメーターに細工をして保存する可能性があります。攻撃者がWebインターフェースのユーザーを誘導して悪意のあるリンクにアクセスさせたり、影響を受けるWebインターフェースに対するユーザーリクエストを傍受し、リクエストに悪質なコードを挿入したりする可能性があります。悪用に成功すると、攻撃者が影響を受けるWebインターフェースのコンテキストで任意のスクリプトコードを実行したり、ブラウザベースの秘密性情報にアクセスしたりする可能性があります。

詳細については、付属の Cisco BID および Cisco Security Advisory を参照してください。

Nessus はこの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。