PT-2024-6593 · Cisco · Cisco Nexus Dashboard Fabric Controller
Nate Dunlap
·
Publicado
2024-10-02
·
Atualizado
2024-11-04
·
CVE-2024-20432
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas:
Cisco Nexus Dashboard Fabric Controller versões 11.5 e anteriores
Descrição:
Uma vulnerabilidade na API REST e na interface de usuário web do Cisco Nexus Dashboard Fabric Controller poderia permitir que um invasor remoto autenticado, com privilégios limitados, realizasse um ataque de injeção de comando contra um dispositivo afetado. Essa vulnerabilidade se deve à autorização inadequada de usuários e à validação insuficiente dos argumentos de comando. Um invasor poderia explorar essa vulnerabilidade enviando comandos maliciosos para um endpoint da API REST afetado ou por meio da interface de usuário da web. Uma exploração bem-sucedida poderia permitir que o invasor executasse comandos arbitrários na CLI de um dispositivo gerenciado pelo Cisco NDFC com privilégios de administrador de rede.
Recomendações:
Para as versões 11.5 e anteriores do Cisco Nexus Dashboard Fabric Controller, atualize o software para a versão mais recente a fim de corrigir a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso à API REST e à interface de usuário da web para minimizar o risco de exploração. Além disso, garanta a autorização adequada de usuários e a validação de comandos para prevenir ataques de injeção de comando.
Correção
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cisco Nexus Dashboard Fabric Controller