BDU:2019-03039 (CVE-2019-1864) — уязвимость веб-интерфейса управления программного средства удалённого администрирования серверов Cisco Integrated
По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.
Высокий — 8.8/10 Устранена
Уязвимость веб-интерфейса управления программного средства удалённого администрирования серверов Cisco Integrated Management Controller существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды с привилегиями root
Кого касается и что делать
- Уязвимое ПО: Unified Computing System (Cisco Systems) — версии 4.0(1c)HS3; Integrated Management Controller (Cisco Systems) — версии от 4.0 до 4.0(2f), от 4.0 до 4.0(4b), от 1.5 до 1.5(9g), от 2.0 до 2.0(13o), от 3.0 до 3.0(4k)
- Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com
Сведения об уязвимости
| Идентификаторы | BDU:2019-03039 · CVE-2019-1864 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 9.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость веб-интерфейса управления программного средства удалённого администрирования серверов Cisco Integrated Management Controller, позволяющая нарушителю выполнить произвольные команды с привилегиями root |
| Даты | Опубликована: 02.09.2019 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 21.08.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- Unified Computing System (Cisco Systems) — 4.0(1c)HS3 · сетевое программное средство
- Integrated Management Controller (Cisco Systems) — версии от 4.0 до 4.0(2f), от 4.0 до 4.0(4b), от 1.5 до 1.5(9g), от 2.0 до 2.0(13o), от 3.0 до 3.0(4k) · ПО сетевого программно-аппаратного средства
ОС и платформы
- ОС без названия (Cisco Systems) — Cisco UCS C-Series
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- tools.cisco.com/security/center/content/CiscoSecurityAdvi…
