PT-2020-4961 · Cisco · Cisco Secure Web Appliance+1
Alvaro Gutierrez Quiles
·
Publicado
2020-11-18
·
Atualizado
2020-12-02
·
CVE-2020-3367
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Cisco Secure Web Appliance (anteriormente Web Security Appliance) – versões não especificadas
Descrição
Uma vulnerabilidade no subsistema de assinatura de logs do Cisco AsyncOS pode permitir que um invasor local autenticado execute injeção de comandos e eleve seus privilégios ao nível de root. Esse problema se deve à validação insuficiente das entradas fornecidas pelo usuário na interface web e na CLI. Um invasor poderia explorar essa vulnerabilidade autenticando-se no dispositivo afetado e injetando comandos de script no escopo do subsistema de assinatura de logs. Uma exploração bem-sucedida poderia permitir que o invasor executasse comandos arbitrários no sistema operacional subjacente e elevasse privilégios para root.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cisco Asyncos
Cisco Secure Web Appliance