PT-2022-6234 · Cisco · Cisco Identity Services Engine
Pear1Y
·
Publicado
2022-10-27
·
Atualizado
2023-04-11
·
CVE-2023-20030
CVSS v2.0
8.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:P/A:P |
Nome do software vulnerável e versões afetadas
Cisco Identity Services Engine (ISE) (versões afetadas não especificadas)
Descrição
Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco Identity Services Engine (ISE) poderia permitir que um invasor remoto autenticado acessasse informações confidenciais, realizasse um ataque de falsificação de solicitação do lado do servidor (SSRF) por meio de um dispositivo afetado ou prejudicasse a capacidade de resposta da própria interface de gerenciamento baseada na web. Essa vulnerabilidade se deve ao tratamento inadequado de entradas de Entidade Externa XML (XXE) ao analisar determinados arquivos XML. Um invasor poderia explorar essa vulnerabilidade enviando um arquivo XML malicioso que contenha referências a entidades externas. Uma exploração bem-sucedida poderia permitir que o invasor recuperasse arquivos do sistema local, resultando na divulgação de informações confidenciais. Uma exploração bem-sucedida também poderia fazer com que o aplicativo web realizasse solicitações HTTP arbitrárias em nome do invasor ou consumisse recursos de memória para reduzir a disponibilidade da interface de gerenciamento baseada na web. Para explorar essa vulnerabilidade com sucesso, um invasor precisaria de credenciais válidas de Super Admin ou Policy Admin.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cisco Identity Services Engine