CVE-2019-1904

Опубликовано: 21 июн. 2019

Источник: nvd

CVSS3: 8.8

CVSS2: 6.8

EPSS Низкий

Описание

A vulnerability in the web-based UI (web UI) of Cisco IOS XE Software could allow an unauthenticated, remote attacker to conduct a cross-site request forgery (CSRF) attack on an affected system. The vulnerability is due to insufficient CSRF protections for the web UI on an affected device. An attacker could exploit this vulnerability by persuading a user of the interface to follow a malicious link. A successful exploit could allow the attacker to perform arbitrary actions with the privilege level of the affected user. If the user has administrative privileges, the attacker could alter the configuration, execute commands, or reload an affected device. This vulnerability affects Cisco devices that are running a vulnerable release of Cisco IOS XE Software with the HTTP Server feature enabled. The default state of the HTTP Server feature is version dependent.

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:4321_integrated_services_router:-:*:*:*:*:*:*:*

Конфигурация 2

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:4331_integrated_services_router:-:*:*:*:*:*:*:*

Конфигурация 3

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:asr_1002-x:-:*:*:*:*:*:*:*

Конфигурация 4

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:4431_integrated_services_router:-:*:*:*:*:*:*:*

Конфигурация 5

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:cloud_services_router_1000v:-:*:*:*:*:*:*:*

Конфигурация 6

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:asr_1000_series_route_processor_\(rp2\):-:*:*:*:*:*:*:*

Конфигурация 7

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:4351_integrated_services_router:-:*:*:*:*:*:*:*

Конфигурация 8

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:4451-x_integrated_services_router:-:*:*:*:*:*:*:*

Конфигурация 9

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:asr_1002-hx:-:*:*:*:*:*:*:*

Конфигурация 10

Одновременно

Одно из

cpe:2.3:o:cisco:ios_xe:16.1.3:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.2.1:*:*:*:*:*:*:*

cpe:2.3:o:cisco:ios_xe:16.3.1:*:*:*:*:*:*:*

cpe:2.3:h:cisco:asr_1001-x:-:*:*:*:*:*:*:*

EPSS

Процентиль: 65%

0.00502

Низкий

8.8 High

CVSS3

8.8 High

CVSS3

6.8 Medium

CVSS2

Дефекты

CWE-352

Связанные уязвимости

GHSA-mj96-mvxg-hrm7

github

больше 3 лет назад

BDU:2019-02244

CVSS3: 8.8

fstec

больше 6 лет назад

Уязвимость веб-интерфейса операционной системы Cisco IOS XE, позволяющая нарушителю выполнить произвольные действия в контексте текущего пользователя

EPSS

Процентиль: 65%

0.00502

Низкий

8.8 High

CVSS3

8.8 High

CVSS3

6.8 Medium

CVSS2

Дефекты

CWE-352