BDU:2019-03053 (CVE-2019-1634) — уязвимость интеллектуального интерфейса управления платформой (IPMI) программного средства удалённого администрирования

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Уязвимость интеллектуального интерфейса управления платформой (IPMI) программного средства удалённого администрирования серверов Cisco Integrated Management Controller связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды с привилегиями root в базовой операционной системе

Кого касается и что делать

• Уязвимое ПО: Unified Computing System (Cisco Systems) — версии 4.0(1c)HS3; Integrated Management Controller (Cisco Systems) — версии от 4.0 до 4.0(2f), от 4.0 до 4.0(4b), от 1.5 до 1.5(9g), от 2.0 до 2.0(13o), от 3.0 до 3.0(4k)
• Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com

Сведения об уязвимости

Идентификаторы	BDU:2019-03053 · CVE-2019-1634
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.2; CVSS 2.0 — 9.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость интеллектуального интерфейса управления платформой (IPMI) программного средства удалённого администрирования серверов Cisco Integrated Management Controller, позволяющая нарушителю выполнить произвольные команды с привилегиями root
Даты	Опубликована: 02.09.2019 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 21.08.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

• Unified Computing System (Cisco Systems) — 4.0(1c)HS3 · сетевое программное средство
• Integrated Management Controller (Cisco Systems) — версии от 4.0 до 4.0(2f), от 4.0 до 4.0(4b), от 1.5 до 1.5(9g), от 2.0 до 2.0(13o), от 3.0 до 3.0(4k) · ПО сетевого программно-аппаратного средства

ОС и платформы

• ОС без названия (Cisco Systems) — Cisco UCS C-Series

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• tools.cisco.com/security/center/content/CiscoSecurityAdvi…

Источники

• tools.cisco.com/security/center/content/CiscoSecurityAdvi…