CVE-2017-6708
KrytyczneStreszczenie
Podatność w funkcjonalności tworzenia dowiązań symbolicznych (symlink) w narzędziu AutoVNF dla Cisco Ultra Services Framework może pozwolić nieautoryzowanemu, zdalnemu atakującemu na odczytanie wrażliwych plików lub wykonanie złośliwego kodu na podatnym systemie. Problem wynika z braku walidacji danych wejściowych używanych do tworzenia dowiązań symbolicznych.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych oraz możliwość wykonania złośliwego kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Cisco Ultra Services Framework do wersji 5.0.3 lub 5.1, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów walidacji danych wejściowych.
Inne podatności w Cisco Ultra Services Framework
Zobacz wszystkie- CVE-2017-6680Wysokie
Podatność w funkcji logowania AutoVNF w Cisco Ultra Services Framework może pozwolić nieautoryzowanemu, zdalnemu atakującemu na tworzenie dowolnych katalogów na zaatakowanym systemie.
- CVE-2017-6709Krytyczne
Podatność w narzędziu AutoVNF dla Cisco Ultra Services Framework umożliwia nieautoryzowanemu, zdalnemu atakującemu dostęp do danych uwierzytelniających administratora dla Cisco Elastic Services Controller i wdrożeń Cisco OpenStack. Problem wynika z logowania danych uwierzytelniających w postaci niezaszyfrowanej.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the symbolic link (symlink) creation functionality of the AutoVNF tool for the Cisco Ultra Services Framework could allow an unauthenticated, remote attacker to read sensitive files or execute malicious code on an affected system. The vulnerability is due to the absence of validation checks for the input that is used to create symbolic links. This vulnerability affects all releases of the Cisco Ultra Services Framework prior to Releases 5.0.3 and 5.1. Cisco Bug IDs: CSCvc76654.