BDU:2018-01380

Опубликовано: 07 нояб. 2018

Источник: fstec

CVSS3: 8.8

CVSS2: 9.3

EPSS Низкий

Описание

Уязвимость веб-интрефейса средства управления использования электроэнергии Cisco Energy Management Suite связана с отсутствием проверки подлинности HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить межсайтовую подделку запросов и выполнить произвольные действия на уязвимом устройстве от имени пользователя с помощью специально сформированных запросов

Вендор

Cisco Systems Inc.

Наименование ПО

Energy Management Suite

Версия ПО

4.4 (Energy Management Suite)

от 5.2 до 5.2.3 (Energy Management Suite)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-ems-csrf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-15445
CVE

EPSS

Процентиль: 65%

0.00484

Низкий

8.8 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVE-2018-15445

CVSS3: 6.3

nvd

около 7 лет назад

A vulnerability in the web-based management interface of Cisco Energy Management Suite Software could allow an authenticated, remote attacker to conduct a cross-site request forgery (CSRF) attack and perform arbitrary actions on an affected device. The vulnerability is due to insufficient CSRF protections for the web-based management interface of an affected device. An attacker could exploit this vulnerability by persuading an authenticated user of the interface to follow a crafted link. A successful exploit could allow the attacker to perform arbitrary actions on a targeted device via a web browser and with the privileges of the user.

GHSA-wcfx-q2mg-86rq

CVSS3: 8

github

больше 3 лет назад