Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v Unified Industrial Wireless Software zasielaním špecificky vytvorených HTTP požiadaviek umožnené vykonávať príkazy s právami root v operačnom systéme postihnutého zariadenia. Zraniteľnosť sa týka produktov Catalyst IW9165D Heavy Duty Access Points, Catalyst IW9165E Rugged Access Points and Wireless Clients a Catalyst IW9167E Heavy Duty Access Points s povoleným režimom Ultra-Reliable Wireless Backhaul (URWB). Aktivitu tohto režimu možno overiť príkazom "show mpls-config". Ak je tento príkaz dostupný, režim je aktívny [4].

Zraniteľnosť sa nachádza v produkte:

• Cisco Unified Industrial Wireless Software; <=17.14; >=17.15, <17.15.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-20418 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Autentizovanému vzdialenému útočníkovi s oprávnením "read-only" je zasielaním špecificky vytvorených požiadaviek na konkrétny koncový bod REST API alebo webové rozhranie pre správu NDFC umožnené spúšťať SQL príkazy, čo môže viesť k modifikácii, čítaniu alebo mazaniu dát v internej databáze a ohroziť dostupnosť zariadenia. Ak je NDFC nakonfigurované pre režim storage area network (SAN), zariadenie nie je postihnuté [5].

Zraniteľnosť sa nachádza v produkte:

• Cisco Nexus Dashboard Fabric Controller; ==12.1.2; ==12.1.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-20536 na cve.org, NVD
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v ECE zasielaním špeciálne vytvorenej prevádzky Media Routing Peripheral Interface Manager (MR PIM) umožnené vykonať útok DoS na službe External Agent Assignment Service (EAAS), čo môže znemožniť začatie chatu, spätné volanie alebo odložené volanie. Zraniteľnosť sa týka iba systémov so spustenou službou EAAS. Na overenie jej konfigurácie prejdite v "System Console" na "Partitions" > "Partition" > "Services" > "Unified CCE" > "EAAS" > "Instances" a skontrolujte, či je inštancia EAAS aktívna [6].

Zraniteľnosť sa nachádza v produkte:

• Cisco Enterprise Chat and Email;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-20484 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Unified CM IM&P prostredníctvom neoprávneného prístupu k niektorým logom umožnené zobraziť uložené nešifrované prihlasovacie údaje, čo môže viesť k úniku potenciálne citlivých informácií. Zraniteľnosť postihuje systémy, na ktorých beží External Database Merge Tool [7].

Zraniteľnosť sa nachádza v produkte:

• Cisco Unified Communications Manager IM & Presence;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-20457 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Autentizovanému vzdialenému útočníkovi s právami "Read-Only Administrator" je v ISE z dôvodu nedostatočnej kontroly oprávnení umožnené pomocou špeciálne vytvorených HTTP požiadaviek získať prístup k administratívnym funkciám nad rámec svojich práv [2].

Zraniteľnosť sa nachádza v produkte:

• Cisco Identity Services Engine; <3.1P9; >=3.2, <3.2P7; >=3.3, <3.3P3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Viac informácií:

• CVE-2024-20537 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v ISE pomocou metód sociálneho inžinierstva umožnené vykonať XSS útok [3].

Zraniteľnosť sa nachádza v produkte:

• Cisco Identity Services Engine; <3.1P10; >=3.2, <3.2P7; >=3.3, <3.3P4; >=3.4, <3.4P1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-20525 na cve.org, NVD
• CVE-2024-20530 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v ISE pomocou metód sociálneho inžinierstva umožnené vykonať XSS útok [2].

Zraniteľnosť sa nachádza v produkte:

• Cisco Identity Services Engine; <3.1P10; >=3.2, <3.2P7; >=3.3, <3.3P4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-20538 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v Unified CM a Unified CM SME pomocou metód sociálneho inžinierstva umožnené vykonať XSS útok [8].

Zraniteľnosť sa nachádza v produktoch:

• Cisco Unified Communications Manager; <14SU5; >=15, <15SU2;
• Cisco Unified Communications Manager Session Management Edition; <14SU5; >=15, <15SU2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-20511 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Autentizovanému vzdialenému útočníkovi s právami "Super Admin" je v ISE prostredníctvom odoslania špeciálne upravenej API požiadavky umožnené čítať a mazať ľubovoľné súbory v operačnom systéme postihnutého zariadenia [3].

Zraniteľnosť sa nachádza v produkte:

• Cisco Identity Services Engine; <3.1P10; >=3.2, <3.2P7; >=3.3, <3.3P4; >=3.4, <3.4P1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:L/A:N

Viac informácií:

• CVE-2024-20527 na cve.org, NVD
• CVE-2024-20529 na cve.org, NVD
• CVE-2024-20532 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Autentizovanému vzdialenému útočníkovi s právami "Super Admin" je v ISE prostredníctvom odoslania špeciálne upravenej API požiadavky umožnené čítať ľubovoľné súbory v operačnom systéme postihnutého zariadenia alebo vykonať SSRF útok [3].

Zraniteľnosť sa nachádza v produkte:

• Cisco Identity Services Engine; <3.1P10; >=3.2, <3.2P7; >=3.3, <3.3P4; >=3.4, <3.4P1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-20531 na cve.org, NVD
• CWE-611: Improper Restriction of XML External Entity Reference na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 11. 2024.