BDU:2022-00162

Опубликовано: 06 окт. 2021

Источник: fstec

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

Уязвимость веб-интерфейса программного средства администрирования лицензий Cisco Smart Software Manager On-Prem связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии и создавать, читать, обновлять или удалять записи и настройки

Вендор

Cisco Systems Inc.

Наименование ПО

Cisco Smart Software Manager On-Prem

Версия ПО

до 8-202108 (Cisco Smart Software Manager On-Prem)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,4)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ssm-priv-esc-5g35cdDJ?vs_f=Cisco%20Security%20Advisory&vs_cat=Security%20Intelligence&vs_type=RSS&vs_p=Cisco%20Smart%20Software%20Manager%20Privilege%20Escalation%20Vulnerability&vs_k=1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ssm-priv-esc-5g35cdDJ?vs_f=Cisco%20Security%20Advisory&vs_cat=Security%20Intelligence&vs_type=RSS&vs_p=Cisco%20Smart%20Software%20Manager%20Privilege%20Escalation%20Vulnerability&vs_k=1

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-34766
CVE

EPSS

Процентиль: 31%

0.0012

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVE-2021-34766

CVSS3: 5.4

nvd

больше 4 лет назад

A vulnerability in the web UI of Cisco Smart Software Manager On-Prem (SSM On-Prem) could allow an authenticated, remote attacker to elevate privileges and create, read, update, or delete records and settings in multiple functions. This vulnerability is due to insufficient authorization of the System User and System Operator role capabilities. An attacker could exploit this vulnerability by directly accessing a web resource. A successful exploit could allow the attacker to create, read, update, or delete records and settings in multiple functions without the necessary permissions on the web UI.

GHSA-8mp4-67gg-gvgw

github

больше 3 лет назад