Vulnérabilité dans Cisco Web Appliance
Date de publication :
CVE-2022-20871[Score CVSS v3.1:6.3]
Un défaut de vérification des données renseignées par les utilisateurs dans l’interface Web de Cisco Web Appliance permet à un attaquant distant et authentifié, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire sur le système d’exploitation et d’élever ses privilèges.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
Exécution de code arbitraire
Élévation de privilèges
Criticité
Score CVSS v3.1: 6.3
La faille est activement exploitée
Non
Un correctif existe
Oui, mais seulement pour certaines versions
Une mesure de contournement existe
Non
Les vulnérabilités exploitées sont du type
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
Détails sur l’exploitation
Vecteur d’attaque : Réseau.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Composants vulnérables
Cisco AsyncOS for secure Web Appliance version 12.5
Cisco AsyncOS for secure Web Appliance version 14.0
Cisco AsyncOS for secure Web Appliance version 14.5
Solutions ou recommandations
Mettre à jour Cisco AsyncOS for secure Web Appliance 14.5 vers la version 14.5.0-537.
Pour les autres versions, une mise à jour sera disponible prochainement (août 2022 pour la version 14.0 et septembre 2022 pour la version 12.5).