Cisco Identity Services Engine XXE インジェクション (cisco-sa-ise-xxe-inj-GecEHY58)

medium Nessus プラグイン ID 170958

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。

説明

自己報告されたバージョンによると、Cisco Identity Services Engine は XML 外部エンティティ (XXE) の脆弱性の影響を受けます。Super Admin または Proxy Admin の認証情報で認証されたリモート攻撃者が、外部エンティティへの参照を含む細工された XML ファイルをアップロードすることで、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者がローカルシステムからファイルを取得し、機密情報が漏洩する可能性があります。攻撃者はまた、影響を受けるデバイスを介して、Web アプリケーションに任意の HTTP リクエストを実行させたり、サーバーサイドリクエストフォージェリ攻撃を行ったり、Web ベースの管理インターフェイスの応答性に影響を与えたりする可能性があります。

詳細については、付属の Cisco BID および Cisco Security Advisory を参照してください。