Multiples vulnérabilités découvertes dans les produits Cisco

De multiples vulnérabilités ont été découvertes dans les produits Cisco. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service et une élévation de privilèges.

CVE-2019-12699[Score CVSSv3 : 7.8] : De multiples vulnérabilités ont été découvertes dans le client des logiciels Cisco FXOS et Cisco Firepower Threat Defense (FTD). Elles pourraient permettre à un attaquant local authentifié d'exécuter des commandes sur le système d'exploitation (OS) sous-jacent avec les privilèges root. Ces vulnérabilités sont dues à une validation insuffisante des entrées. Un attaquant pourrait exploiter ces vulnérabilités en incluant des arguments conçus pour des commandes du client.

CVE-2019-12679 [Score CVSSv3 : 8.8] : De multiples vulnérabilités dans l'interface de gestion Web du logiciel Firepower Management Center (FMC) de Cisco pourraient permettre à un attaquant authentifié et distant d'exécuter des injections SQL sur le périphérique. Ces vulnérabilités sont dues à une mauvaise validation des entrées utilisateurs. Un attaquant exploitant cette vulnérabilité pourrait compromettre la confidentialité des données de la base de données et exécuter des commandes sur le système d’exploitation sous-jacent.

CVE-2019-12689[Score CVSSv3 : 8.8] : Une vulnérabilité dans l'interface de gestion Web du logiciel Firepower Management Center (FMC) de Cisco pourrait permettre à un attaquant distant authentifié d'exécuter du code arbitraire sur le système d'exploitation sous-jacent d'un périphérique affecté. La vulnérabilité est due à une validation insuffisante des entrées. Un attaquant pourrait exploiter cette vulnérabilité en envoyant des commandes malveillantes à l'interface de gestion Web d'un périphérique affecté. Un exploit réussi pourrait permettre à l'attaquant d'exécuter du code arbitraire sur le système d'exploitation sous-jacent du périphérique affecté.

CVE-2019-12678[Score CVSSv3 : 7.5] : Une vulnérabilité dans le module d'inspection SIP (Session Initiation Protocol) du logiciel Cisco Adaptive Security Appliance (ASA) et du logiciel Cisco Firepower Threat Defense (FTD) pourrait permettre à un attaquant distant non authentifié de provoquer un déni de service (DoS) sur un périphérique affecté. La vulnérabilité est due à une mauvaise analyse des messages SIP. Un attaquant pourrait exploiter cette vulnérabilité en envoyant un paquet SIP malveillant via un périphérique affecté. Un exploit réussi pourrait permettre à l'attaquant de provoquer la lecture par le logiciel de la mémoire non mappée et provoquerait un crash.