Multiples vulnérabilités critiques dans Cisco

Date de publication :

CVE-2022-20817[Score CVSS v3.1: 7.4]

Une génération de clés incorrectes pendant le processus de fabrication de téléphones IP Cisco Unified pourrait avoir causé l'installation de clés fabriquées en double sur plusieurs appareils. Un attaquant peut ainsi contourner la politique de sécurité afin d’exécuter une attaque de type « machine-in-the-middle » sur la communication sécurisée entre le téléphone et le CUCM.

CVE-2022-20825[Score CVSS v3.1: 9.8](critique)

Une validation insuffisante des paquets HTTP entrants dans l'interface de gestion Web des routeurs Cisco Small Business RV110W, RV130, RV130W et RV215W permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, d’exécuter du code arbitraire avec les privilèges les plus élevés.

CVE-2022-20798[Score CVSS v3.1 : 9.8] (critique)

Un défaut de vérification lors de l’authentification via LDAP dans Cisco Secure Email and Web Manager permet à un attaquant distant, grâce à la saisie d’une entrée forgée sur la page de connexion à distance, de contourner la politique de sécurité du système.

CVE-2022-20664[Score CVSS v3.1 : 7.7]

Un défaut de nettoyage approprié des entrées lors de l’authentification via LDAP dans Cisco Secure Email and Web Manager permet à un attaquant, grâce à la saisie d’une entrée forgée sur la page de connexion à distance, de porter atteinte à la confidentialité des données.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Contournement de la politique de sécurité

    Élévation de privilèges

    Atteinte à la confidentialité des données

Criticité

    Score CVSS v3.1: 9.8 max (critique)

La faille est activement exploitée

    Non

Un correctif existe

Une mesure de contournement existe

La vulnérabilité exploitée est du type

CWE-287: Improper Authentication

CWE-121: Stack-based Buffer Overflow

CWE-338: Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG)

CWE-497: Exposure of Sensitive System Information to an Unauthorized Control Sphere

Détails sur l’exploitation

Pour la CVE-2022-20817

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Élevée.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-20825

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-20798

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-20664

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour la CVE-2022-20817

    Adaptateur téléphonique analogique ATA 187

    Téléphone IP unifié 6911

    Téléphone IP unifié 6921

    Téléphone IP unifié 6941

    Téléphone IP unifié 6945

    Téléphone IP unifié 6961

    Téléphone IP unifié 8941

    Téléphone IP unifié 8945

    Téléphone IP unifié 8961

    Téléphone IP unifié 9951

    Téléphone IP unifié 9971

Pour la CVE-2022-20825

    Pare-feu VPN sans fil N RV110W

    Routeur VPN RV130

    Routeur VPN multifonction sans fil N RV130W

    Routeur VPN sans fil N RV215W

La CVE-2022-20798 affecte Cisco Secure Email et Web Manager and Cisco Email Security Appliance si les conditions suivantes sont réunies :

    Configuration permettant l'authentification externe.

    Utilisation de LDAP comme protocole d'authentification.

La CVE-2022-20664 affecte Cisco Secure Email et Web Manager and Cisco Email Security Appliance si les conditions suivantes sont réunies :

    Exécution d’une version vulnérable du logiciel Cisco AsyncOS.

    Configuration permettant l'authentification externe.

    Utilisation de LDAP comme protocole d'authentification.

Solutions ou recommandations

Pour la CVE-2022-20817

  • Il n’existe aucun correctif pour cette vulnérabilité
  • Une mesure de contournement existe, consistant en l’installation d’un certificat localement significatif (LSC) :
    • Vérifier que le certificat CUCM est à jour.
    • Ouvrir la page de configuration du téléphone.
    • Accéder à Paramètres > Configuration de la sécurité > LSC.
    • Installer le LSC.

Pour la CVE-2022-20825

  • Il n’existe aucun correctif ni aucune mesure de contournement pour cette vulnérabilité.

Pour la CVE-2022-20798

  • Mettre à jour les produits affectés par cette vulnérabilité aux dernières versions corrigées. Les correctifs correspondants à chaque version sont disponibles ici.
  • Il existe une solution de contournement qui corrige cette vulnérabilité. Les administrateurs peuvent désactiver les liaisons anonymes sur le serveur d'authentification externe.

Pour la CVE-2022-20664

  • Mettre à jour les produits affectés par cette vulnérabilité aux dernières versions corrigées. Les correctifs correspondants à chaque version sont disponibles ici.

Liens