Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-02975

Опубликовано: 19 окт. 2022
Источник: fstec
CVSS3: 6.1
CVSS2: 5.5
EPSS Низкий

Описание

Уязвимость интерфейса External RESTful Services (ERS) платформы управления политиками соединений Cisco Identity Services Engine (ISE) связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять межсайтовые сценарные атаки с помощью специально созданной вредоносной ссылки

Вендор

Cisco Systems Inc.

Наименование ПО

Cisco Identity Services Engine

Версия ПО

от 3.2 до 3.2P1 (Cisco Identity Services Engine)
от 3.1 до 3.1p4 (Cisco Identity Services Engine)
до 2.7p8 (Cisco Identity Services Engine)
от 3.0 до 3.0p7 (Cisco Identity Services Engine)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-ise-xss-twLnpy3M.html
Компенсирующие меры:
Чтобы отключить External RESTful Services (ERS) в Cisco Identity Services Engine (ISE) версии от 2.0 до 2.7 включительно, следует:
1. Войти в веб-интерфейс управления;
2. Выбрать Administration > System > Settings;
3. Выбрать ERS Settings;
4. Нажать Disable ERS.
Чтобы отключить External RESTful Services (ERS) в Cisco Identity Services Engine (ISE) версии 3.0, следует:
1. Войти в веб-интерфейс управления;
2. Нажать значок Menu;
3. Выбрать Administration > System > Settings;
4. Нажать Disable ERS.
Чтобы отключить External RESTful Services (ERS) в Cisco Identity Services Engine (ISE) версии 3.1 и 3.2, следует:
1. Войти в веб-интерфейс управления;
2. Нажать значок Menu;
3. Выбрать Administration > System > Settings;
4. Выбрать API Settings;
5. Выбрать вкладку API Service Settings;
6. Нажать на переключатель ERS (Read/Write), чтобы его деактивировать.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 45%
0.00229
Низкий

6.1 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
nvd
больше 3 лет назад

A vulnerability in the External RESTful Services (ERS) API of Cisco Identity Services Engine (ISE) Software could allow an authenticated, remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface of an affected device. This vulnerability is due to insufficient input validation. An attacker could exploit this vulnerability by persuading an authenticated administrator of the web-based management interface to click a malicious link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information.

CVSS3: 5.4
github
больше 3 лет назад

A vulnerability in the External RESTful Services (ERS) API of Cisco Identity Services Engine (ISE) Software could allow an authenticated, remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface of an affected device. This vulnerability is due to insufficient input validation. An attacker could exploit this vulnerability by persuading an authenticated administrator of the web-based management interface to click a malicious link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information.

EPSS

Процентиль: 45%
0.00229
Низкий

6.1 Medium

CVSS3

5.5 Medium

CVSS2