PT-2024-6907 · Cisco · Cisco Ios Xe Software For Wireless Controllers+1
Publicado
2024-09-25
·
Atualizado
2024-10-03
·
CVE-2024-20510
CVSS v3.1
9.3
Crítica
| Vetor | AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Software Cisco IOS XE para controladores sem fio, versões anteriores à 17.13.1a
Descrição
Uma vulnerabilidade no recurso Central Web Authentication (CWA) poderia permitir que um invasor não autenticado, localizado na rede adjacente, contornasse a lista de controle de acesso (ACL) de pré-autenticação, possibilitando o acesso aos recursos de rede antes da autenticação do usuário. Este problema se deve a um erro de lógica ao ativar a ACL de pré-autenticação recebida do servidor de autenticação, autorização e contabilidade (AAA). Um invasor poderia explorar isso conectando-se a uma rede sem fio configurada para CWA e enviando tráfego através de um dispositivo afetado que deveria ser negado pela ACL configurada antes da autenticação do usuário.
Recomendações
Para versões do Cisco IOS XE Software for Wireless Controllers anteriores à 17.13.1a, atualize para a versão 17.13.1a ou posterior para mitigar o risco. Como solução alternativa temporária, considere restringir o acesso ao recurso CWA até que um patch esteja disponível. Além disso, restringir o uso da ACL de pré-autenticação pode ajudar a minimizar o risco de exploração.
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cisco Ios Xe Software For Wireless Controllers
Cisco Ios Xe