Cisco publie des mises à jour de sécurité pour corriger de graves vulnérabilités

Cisco a publié des mises à jour de sécurité pour corriger deux vulnérabilités classées "élevées" : CVE-2022-20961 et CVE-2022-20956.

Les vulnérabilités affectent le Cisco Identity Services Engine et pourraient permettre à un attaquant de mener plusieurs activités malveillantes.

CVE-2022-20961 a un score de gravité de 8.8 et a été causé par une protection CSRF inadéquate pour l'interface de gestion basée sur le web d'un dispositif affecté.

Une vulnérabilité dans l'interface de gestion Web de Cisco Identity Services Engine ISF pourrait permettre à un attaquant distant non authentifié de mener une attaque CSRF (Cross-Site Request Forgery) et d'effectuer des actions arbitraires sur un appareil affecté.

Un attaquant distant peut envoyer une requête HTTP malformée pour exécuter des actions arbitraires sur l'appareil affecté en utilisant les privilèges de l'utilisateur cible après l'avoir convaincu de visiter un site web malveillant.

Cette vulnérabilité pourrait permettre à un attaquant de mener des attaques de type cross-site scripting, d'empoisonner le webcache et d'autres activités malveillantes. La vulnérabilité affecte la version d'Identity Services Engine antérieure à 3.2. Cependant, Cisco a déclaré qu'il n'y a aucune preuve que la vulnérabilité a été exploitée pour des activités malveillantes.

Le deuxième bogue corrigé, CVE-2022-20956, a une gravité de 7.1 et est causé par un contrôle d'accès incorrect dans l'interface de gestion basée sur le Web.

La vulnérabilité se trouve dans l'interface de gestion web de Cisco Identity Services Engine (ISE).

En envoyant une requête HTTP spécifiquement conçue, un acteur menaçant pourrait exploiter la vulnérabilité pour contourner l'autorisation et accéder aux fichiers système. Le bogue affecte les versions 3.1 et 3.2 d'Identity Services Engine. Cisco a confirmé qu'un code d'exploitation de type "proof-of-concept" existe pour cette vulnérabilité.

Bien qu'il n'existe pas de solution de contournement pour les deux vulnérabilités, les mises à jour de sécurité publiées par Cisco corrigent finalement les vulnérabilités. Il est recommandé aux utilisateurs de télécharger les dernières mises à jour pour résoudre les vulnérabilités.

Les sources de cette pièce comprennent un article de SecurityOnline.

Découvrez cette nouvelle dans notre Tuxcare Vblog

Résumé

Nom de l'article

Cisco publie des mises à jour de sécurité pour corriger de graves vulnérabilités

Description

Cisco a publié des mises à jour de sécurité pour corriger deux vulnérabilités classées "élevées" : CVE-2022-20961 et CVE-2022-20956.

Auteur

Obanla Opeyemi

Nom de l'éditeur

TuxCare

Logo de l'éditeur