Cisco APIC の認証されていないポリシーアクション (cisco-sa-apic-uapa-F4TAShk)

medium Nessus プラグイン ID 180453

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。

説明

Cisco Application Policy Infrastructure Controller (APIC) の制限されたセキュリティドメイン実装の脆弱性により、認証されたリモートの攻撃者が、影響を受けるシステム上の異なるセキュリティドメインに関連付けられたユーザーによって作成された非テナントポリシー (アクセスポリシーなど) を読み取ったり、変更したり、削除したりする可能性があります。この脆弱性は、テナント境界外のポリシーのマルチテナントを実装するために制限されたセキュリティドメインが使用される場合のアクセス制御が不適切であることが原因です。制限されたセキュリティドメインに関連付けられた有効なユーザーアカウントを持つ攻撃者が、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者が、異なるセキュリティドメインに関連付けられたユーザーによって作成されたポリシーを読み取ったり、変更したり、削除したりする可能性があります。攻撃者がアクセス権限を持たないテナントでは、ポリシーの悪用はできません。

詳細については、付属の Cisco BID および Cisco Security Advisory を参照してください。

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。