PT-2024-2707 · Cisco · Cisco Ios Xe

X.B · Publicado 2024-03-27 · Atualizado 2025-08-01 · CVE-2024-20278

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas

Software Cisco IOS XE (versões afetadas não especificadas)

Descrição

O problema está relacionado ao recurso NETCONF do software Cisco IOS XE, onde a validação inadequada de entradas fornecidas pelo usuário poderia permitir que um invasor remoto autenticado elevasse seus privilégios para root em um dispositivo afetado. Isso se deve ao uso de uma lista negra incompleta durante o processamento dos dados de entrada. Um invasor poderia explorar essa vulnerabilidade enviando entradas maliciosas via NETCONF para um dispositivo afetado, o que poderia permitir que ele elevasse seus privilégios de Administrador para root.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

BDU:2024-02820

CVE-2024-20278

Produtos afetados

Cisco Ios Xe

Referências · 7

• https://osv.dev/vulnerability/CVE-2024-20278 · Aviso do Fabricante
• https://t.me/cveNotify/130550 · Publicação no Telegram
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-priv-esc-seAx6NLX · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1773096353167749273 · Publicação no Twitter
• https://t.me/cvenotify/74865 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-20278 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-02820 · Nota de Segurança