BDU:2020-03792 (CVE-2020-3383) — уязвимость утилиты архивирования системы сетевого управления центром обработки данных Cisco Data Center Network Manager (DCNM)

По данным БДУ ФСТЭК России, по состоянию на 12.08.2020.

Уязвимость утилиты архивирования системы сетевого управления центром обработки данных Cisco Data Center Network Manager (DCNM) связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии с помощью специально созданного запроса

Кого касается и что делать

• Уязвимое ПО: Cisco Data Center Network Manager (Cisco Systems) — версии до 11.4(1)
• Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com

Сведения об уязвимости

Идентификаторы	BDU:2020-03792 · CVE-2020-3383
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 9.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость утилиты архивирования системы сетевого управления центром обработки данных Cisco Data Center Network Manager (DCNM), позволяющая нарушителю повысить свои привилегии
Даты	Опубликована: 12.08.2020 · Обновлена ФСТЭК: 12.08.2020 · Выявлена: 29.07.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных; CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

• Cisco Data Center Network Manager (Cisco Systems) — до 11.4(1) · сетевое программное средство

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• tools.cisco.com/security/center/content/CiscoSecurityAdvi…

Источники

• tools.cisco.com/security/center/content/CiscoSecurityAdvi…