Aktywnie wykorzystywana w atakach
Cisco IOS XE Web UI Command Injection Vulnerability
Cisco - Cisco IOS XE Web UI · Figuruje w katalogu CISA KEV od 2023-10-23. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Verify that instances of Cisco IOS XE Web UI are in compliance with BOD 23-02 and apply mitigations per vendor instructions. For affected products (Cisco IOS XE Web UI exposed to the internet or to untrusted networks), follow vendor instructions to determine if a system may have been compromised and immediately report positive findings to CISA.
CVE-2023-20273
WysokieCVSS 7.2KEVStreszczenie
Podatność w interfejsie web UI oprogramowania Cisco IOS XE może pozwolić uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie poleceń z uprawnieniami roota. Wynika to z niewystarczającej walidacji danych wejściowych.
Ocena ryzyka
Atakujący może wstrzyknąć polecenia do systemu operacyjnego z uprawnieniami roota, co może prowadzić do pełnej kompromitacji urządzenia.
Rekomendacja
Zaktualizuj oprogramowanie Cisco IOS XE do wersji zawierającej poprawkę.
Inne podatności w Cisco IOS XE Software
Zobacz wszystkie- CVE-2026-20272Krytyczne
W ramach wewnętrznego przeglądu bezpieczeństwa w Cisco IOS XE Software wykryto wiele podatności związanych z niewłaściwą neutralizacją specjalnych elementów (CWE-74). Wydano wzmocnione wersje oprogramowania, które naprawiają te problemy.
- CVE-2026-20267Krytyczne
W ramach wewnętrznego przeglądu bezpieczeństwa w Cisco IOS XE Software wykryto wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Wydano wzmocnione wersje oprogramowania, które naprawiają te problemy.
- CVE-2023-20198KrytyczneAktywnie exploitowane
Cisco aktualizuje informacje o trwającym dochodzeniu w sprawie wykorzystania funkcji interfejsu webowego w oprogramowaniu Cisco IOS XE. Atakujący wykorzystał CVE-2023-20198 do uzyskania początkowego dostępu i utworzenia lokalnego użytkownika z uprawnieniami poziomu 15, a następnie wykorzystał inną podatność (CVE-2023-20273) do podniesienia uprawnień do root i zapisania implantu w systemie plików. CVE-2023-20198 ma CVSS 10.0, a CVE-2023-20273 CVSS 7.2.
- CVE-2017-12229Krytyczne
Podatność w interfejsie użytkownika opartym na sieci web (web UI) Cisco IOS XE 3.1 do 16.5 pozwala nieautoryzowanemu atakującemu zdalnie obejść uwierzytelnianie do REST API. Problem wynika z niewystarczającej walidacji danych wejściowych dla REST API.
- CVE-2026-20311Średnie
Podatność w interfejsie zarządzania opartym na sieci w oprogramowaniu Cisco IOS XE pozwala uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami na spowodowanie warunku DoS na urządzeniu. Wynika to z niewystarczającej obsługi błędów w interfejsie zarządzania. Atakujący może wykorzystać tę podatność, uwierzytelniając się z nieprawidłowym certyfikatem, co może spowodować przeładowanie urządzenia.
- CVE-2026-20308Średnie
Podatność w interfejsie zarządzania opartym na sieci Web w oprogramowaniu Cisco IOS XE umożliwia uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami przeprowadzenie ataku DoS. Problem wynika z niewystarczającej walidacji danych wejściowych, a jego wykorzystanie może spowodować, że interfejs przestanie odpowiadać.
- CVE-2026-20273Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z niewłaściwą walidacją danych wejściowych (CWE-20), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
- CVE-2026-20271Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z niewystarczającym zarządzaniem przepływem sterowania (CWE-691), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
- CVE-2026-20270Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z nieprawidłowymi obliczeniami (CWE-682), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
- CVE-2026-20269Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z nieprawidłową kontrolą zasobów w trakcie ich cyklu życia (CWE-664), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web UI feature of Cisco IOS XE Software could allow an authenticated, remote attacker to inject commands with the privileges of root. This vulnerability is due to insufficient input validation. An attacker could exploit this vulnerability by sending crafted input to the web UI. A successful exploit could allow the attacker to inject commands to the underlying operating system with root privileges.