Cisco Unified Intelligence Center の脆弱性 (cisco-sa-cuic-infodisc-ssrf-84ZBmwVk)

medium Nessus プラグイン ID 173300

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。

説明

リモートホストにインストールされている Cisco Unified Intelligence Center のバージョンがテスト済みバージョンより前です。したがって、cisco-sa-cuic-infodisc-ssrf-84ZBmwVk のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Cisco Unified Intelligence Center の Web ベース管理インターフェースにおける脆弱性により、認証されたリモート攻撃者が秘密情報にアクセスする可能性があります。この脆弱性は、特定の REST API 出力の過剰な冗長性が原因です。攻撃者が、影響を受けるデバイスに細工された HTTP リクエストを送信することにより、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は影響を受けるデバイスに関連するサービスのハッシュ化された認証情報を含む、機密データを取得する可能性があります。(CVE-2023-20061)

- Cisco Unified Intelligence Center の Web ベース管理インターフェースにおける脆弱性により、認証されたリモート攻撃者がアクセス制御をバイパスし、影響を受けるシステムでサーバーサイドリクエストフォージェリ (SSRF) 攻撃を実行できる可能性があります。この脆弱性は、特定の HTTP リクエストに対する不適切な入力検証が原因です。攻撃者が、影響を受けるシステムに細工された HTTP リクエストを送信することにより、この脆弱性を悪用する可能性があります。悪用に成功した場合、攻撃者が影響を受けるシステムからの任意のネットワークリクエストを送信できる可能性があります。(CVE-2023-20062)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。