Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-00416

Опубликовано: 22 янв. 2020
Источник: fstec
CVSS3: 4.7
CVSS2: 5
EPSS Низкий

Описание

Уязвимость компонента API Framework веб-шлюза Cisco Web Security Appliance (WSA) и устройства управления защитой контента Cisco Content Security Management Appliance (SMA) связана с непринятием мер по обработке последовательностей CRLF в HTTP-заголовках. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, внедрить произвольные HTTP-заголовки в ответы

Вендор

Cisco Systems Inc.

Наименование ПО

Cisco Web Security Appliance
Content Security Management Appliance

Версия ПО

до 11.8.0-382 (Cisco Web Security Appliance)
до 13.0.0.-187 (Content Security Management Appliance)

Тип ПО

ПО сетевого программно-аппаратного средства
ПО программно-аппаратных средств защиты

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-wsa-sma-header-inject

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 21%
0.00069
Низкий

4.7 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 4.7
nvd
больше 5 лет назад

A vulnerability in the API Framework of Cisco AsyncOS for Cisco Web Security Appliance (WSA) and Cisco Content Security Management Appliance (SMA) could allow an unauthenticated, remote attacker to inject crafted HTTP headers in the web server's response. The vulnerability is due to insufficient validation of user input. An attacker could exploit this vulnerability by persuading a user to access a crafted URL and receive a malicious HTTP response. A successful exploit could allow the attacker to inject arbitrary HTTP headers into valid HTTP responses sent to a user's browser.

github
больше 3 лет назад

A vulnerability in the API Framework of Cisco AsyncOS for Cisco Web Security Appliance (WSA) and Cisco Content Security Management Appliance (SMA) could allow an unauthenticated, remote attacker to inject crafted HTTP headers in the web server's response. The vulnerability is due to insufficient validation of user input. An attacker could exploit this vulnerability by persuading a user to access a crafted URL and receive a malicious HTTP response. A successful exploit could allow the attacker to inject arbitrary HTTP headers into valid HTTP responses sent to a user's browser.

EPSS

Процентиль: 21%
0.00069
Низкий

4.7 Medium

CVSS3

5 Medium

CVSS2