PT-2022-5481 · Cisco · Cisco Identity Services Engine

Antonio López + 1 · Publicado 2022-11-02 · Atualizado 2024-01-25 · CVE-2022-20962

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Cisco Identity Services Engine (ISE) (versões afetadas não especificadas)

Descrição

Uma vulnerabilidade no recurso Localdisk Management poderia permitir que um invasor remoto autenticado fizesse alterações não autorizadas no sistema de arquivos de um dispositivo afetado. Esse problema se deve a uma validação insuficiente de entradas, permitindo que um invasor o explore enviando uma solicitação HTTP maliciosa com sequências de caminhos absolutos. Uma exploração bem-sucedida poderia permitir que o invasor enviasse arquivos maliciosos para locais arbitrários dentro do sistema de arquivos, potencialmente acessando o sistema operacional subjacente e executando comandos com privilégios de sistema.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-37

CWE-22

Identificadores relacionados

BDU:2022-06810

CVE-2022-20962

Produtos afetados

Cisco Identity Services Engine

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2022-20962 · Nota de Segurança
• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-path-trav-f6M7cs6r · Nota
• https://osv.dev/vulnerability/CVE-2022-20962 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-06810 · Nota de Segurança
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-path-trav-f6M7cs6r · Aviso do Fabricante