BDU:2023-02168

Опубликовано: 19 апр. 2023

Источник: fstec

CVSS3: 9.9

CVSS2: 10

EPSS Низкий

Описание

Уязвимость веб-интерфейса управления программного пакета Cisco Industrial Network Director существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды

Вендор

Cisco Systems Inc.

Наименование ПО

Cisco Industrial Network Director

Версия ПО

до 1.11.3 (Cisco Industrial Network Director)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- минимизация пользовательских привилегий;

- отключение/удаление не используемых учётных записей пользователей;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения доступа;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ind-CAeLFk6V

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ind-CAeLFk6V

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-20036
CVE

EPSS

Процентиль: 90%

0.0588

Низкий

9.9 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-20036

CVSS3: 9.9

nvd

около 1 года назад

A vulnerability in the web UI of Cisco IND could allow an authenticated, remote attacker to execute arbitrary commands with administrative privileges on the underlying operating system of an affected device. This vulnerability is due to improper input validation when uploading a Device Pack. An attacker could exploit this vulnerability by altering the request that is sent when uploading a Device Pack. A successful exploit could allow the attacker to execute arbitrary commands as NT AUTHORITY\SYSTEM on the underlying operating system of an affected device. Cisco has released software updates that address this vulnerability. There are no workarounds that address this vulnerability.

GHSA-c6cm-r234-phmq

CVSS3: 9.9

github

около 1 года назад

EPSS

Процентиль: 90%

0.0588

Низкий

9.9 Critical

CVSS3

10 Critical

CVSS2