Vulnérabilité dans l’interface CLI de Cisco

Date de publication :

CVE-2021-1529[Score CVSS v3.1: 7.8]

Une vulnérabilité de type « injection de commandes » a été découverte dans l’interface CLI (Command-Line Interface) de Cisco IOS XE SD-WAN.Dû à un manque de vérification dans les données entrées, un attaquant local et authentifié peut exécuter du code arbitraire avec le niveau de privilège root.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Injection de commande

    Elévation de privilèges

    Exécution de code arbitraire

Criticité

    Score CVSS v3.1: 7.8

CVE

Composants vulnérables.

La vulnérabilité concerne les produits Cisco qui fonctionnent avec une publication universelle Cisco IOS XE Software en mode Controller ou une publication Standalone Cisco IOS XE SD-WAN Software.

 

Les produits vulnérables sont les suivants:

    1000 Series Integrated Services Routers (ISRs).

    4000 ISRs.

    ASR 1000 Series Aggregation Services Routers.

    Catalyst 8000 Series Edge Platforms.

    Cloud Serces Router (CSR) 1000V Series.

 

Solutions ou recommandations

Les produits qui ne sont pas concernés par la vulnérabilité sont les suivants :
 

  • IOS Software
     
  • IOS XE Software, fonctionnant en mode autonome.
     
  • SD-WAN vBOND Orchestrator Software
     
  • SD-WAN vEdge Cloud Routers
     
  • SD-WAN vEdge Routers
     
  • SD-WAN vManage Software
     
  • SD-WAN vSmart Controller Software
     

Les produits Cisco IOS XE avec la publication universelle, concernés par la vulnérabilité et nécessitant un correctif, sont les suivants :
 

  • Pour la version Cisco IOS XE 17.2, effectuer le correctif 17.2.3
     
  • Pour la version Cisco IOS XE 17.3, effectuer le correctif 17.3.4
     
  • Pour la version Cisco IOS XE 17.4, effectuer le correctif 17.4.2
     
  • Pour la version Cisco IOS XE 17.5, effectuer le correctif 17.5.1a
     
  • Pour la version Cisco IOS XE 17.6, effectuer le correctif 17.6.1
     

Il n’existe aucun correctif pour les produits Cisco IOS XE SD-WAN Software de la publication Standalone. Les utilisateurs sont invités à migrer vers les produits de la publication universelle.

Liens