BDU:2019-02226 (CVE-2019-1795) — уязвимость интерфейса командной строки сетевых операционных систем Cisco NX-OS и FX-OS
По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.
Средний — 6.7/10 Устранена
Уязвимость интерфейса командной строки (CLI) сетевых операционных систем Cisco NX-OS и FX-OS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с привилегиями root в базовой операционной системе Linux
Кого касается и что делать
- Уязвимое ПО: NX-OS (Cisco Systems) — версии от 8.3 до 8.3(1), от 7.0(3) до 7.0(3)F3(5), от 7.0(3)I7 до 7.0(3)I7(3), до 6.0(2)A8(11), до 7.3(4)N1(1), до 6.2(22), от 8.0 до 8.2(3), до 7.0(3)I4(8), до 8.2(3), от 7.0(3)I4 до 7.0(3)I4(8), от 7.2 до 7.3(2)D1(3), от 7.3 7.3(3)D1(1), до 3.2(3a), от 4.0 до 4.0(1a), до 5.2 включительно и др.; FX-OS (Cisco Systems) — версии от 2.4 до 2.4.1.101, до 2.0.1.201, от 2.1 до 2.2.2.54, от 2.3 до 2.3.1.73
- Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com
Сведения об уязвимости
| Идентификаторы | BDU:2019-02226 · CVE-2019-1795 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.7; CVSS 2.0 — 6.8) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость интерфейса командной строки сетевых операционных систем Cisco NX-OS и FX-OS, позволяющая нарушителю выполнить произвольный код с привилегиями root |
| Даты | Опубликована: 26.06.2019 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 15.05.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-20 — недостаточная проверка вводимых данных; CWE-77 — непринятие мер по чистке данных на управляющем уровне (Внедрение в команду) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- NX-OS (Cisco Systems) — версии от 8.3 до 8.3(1), от 7.0(3) до 7.0(3)F3(5), от 7.0(3)I7 до 7.0(3)I7(3), до 6.0(2)A8(11), до 7.3(4)N1(1), до 6.2(22), от 8.0 до 8.2(3), до 7.0(3)I4(8), до 8.2(3), от 7.0(3)I4 до 7.0(3)I4(8), от 7.2 до 7.3(2)D1(3), от 7.3 7.3(3)D1(1), до 3.2(3a), от 4.0 до 4.0(1a), до 5.2 включительно и др. · операционная система · платформа: Nexus 7000 Series
- FX-OS (Cisco Systems) — версии от 2.4 до 2.4.1.101, до 2.0.1.201, от 2.1 до 2.2.2.54, от 2.3 до 2.3.1.73 · операционная система · платформа: Firepower 4100 Series
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- tools.cisco.com/security/center/content/CiscoSecurityAdvi…
