CVE-2016-1406
WysokieStreszczenie
Interfejs API w Cisco Prime Infrastructure przed wersją 3.1 oraz Cisco Evolved Programmable Network Manager przed wersją 1.2.4 pozwala zdalnym uwierzytelnionym użytkownikom na ominięcie zamierzonych ograniczeń RBAC i uzyskanie wrażliwych informacji, co może prowadzić do uzyskania dodatkowych uprawnień.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych oraz na eskalację uprawnień przez zdalnych użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Cisco Prime Infrastructure do wersji 3.1 lub nowszej oraz Cisco Evolved Programmable Network Manager do wersji 1.2.4 lub nowszej, aby zniwelować tę podatność.
Inne podatności w Cisco Prime Infrastructure, Cisco Evolved Programmable Network Manager
Zobacz wszystkie- CVE-2016-1290Wysokie
API internetowe w Cisco Prime Infrastructure w wersjach od 1.2.0 do 2.2(2) oraz Cisco Evolved Programmable Network Manager (EPNM) w wersji 1.2 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń RBAC i uzyskanie przywilejów poprzez żądanie HTTP, które jest niezgodne z filtrem wzorców.
- CVE-2016-1291Krytyczne
Cisco Prime Infrastructure w wersjach od 1.2.0 do 2.2(2) oraz Cisco Evolved Programmable Network Manager (EPNM) w wersji 1.2 są podatne na zdalne wykonanie kodu przez atakujących, którzy mogą wykorzystać odpowiednio przygotowane dane deserializacyjne w żądaniu HTTP POST.
Oryginalny opis (angielski, źródło NVD)
The API web interface in Cisco Prime Infrastructure before 3.1 and Cisco Evolved Programmable Network Manager before 1.2.4 allows remote authenticated users to bypass intended RBAC restrictions and obtain sensitive information, and consequently gain privileges, via crafted JSON data, aka Bug ID CSCuy12409.