BDU:2016-00304

Опубликовано: 22 янв. 2016

Источник: fstec

CVSS2: 10

EPSS Средний

Описание

Уязвимость скрипта CGI системы централизованного управления устройствами Cisco Unified Computing System Central и операционной системы Cisco Firepower Extensible Operating System существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды с помощью специально сформированного HTTP-запроса

Вендор

Cisco Systems Inc.

Наименование ПО

Unified Computing System Central

Cisco Firepower Extensible Operating System

Версия ПО

до 2.2(4b) (Unified Computing System Central)

от 2.2(5) до 2.2(5a) (Unified Computing System Central)

от 3.0 до 3.0(2e) (Unified Computing System Central)

до 1.1.2 (Cisco Firepower Extensible Operating System)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционная система

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Возможные меры по устранению уязвимости

Обновление программного средства Cisco Unified Computing System Central до одной из версий: 2.2(4b), 2.2(5a), 2.2(6e), 3.0(2e), 3.1(e); обновление операционной системы Cisco Firepower Extensible Operating System до версии 1.1.2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160120-ucsm

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6435
CVE

EPSS

Процентиль: 95%

0.16005

Средний

10 Critical

CVSS2

Связанные уязвимости

CVE-2015-6435

CVSS3: 9.8

nvd

около 10 лет назад

An unspecified CGI script in Cisco FX-OS before 1.1.2 on Firepower 9000 devices and Cisco Unified Computing System (UCS) Manager before 2.2(4b), 2.2(5) before 2.2(5a), and 3.0 before 3.0(2e) allows remote attackers to execute arbitrary shell commands via a crafted HTTP request, aka Bug ID CSCur90888.

GHSA-gpx2-q6w9-gh7p