La solution de contrôle d’accès au réseau de Cisco Systems comporte cinq vulnérabilités classées Élevées qui pourraient permettre à un attaquant distant authentifié d’injecter des commandes arbitraires du système d’exploitation, de contourner les protections de sécurité et de mener des attaques de script intersite.
Quatre des cinq problèmes du Cisco Identity Services Engine ont été identifiés plus tôt ce mois-ci . Cependant, les administrateurs de réseau et de sécurité devront attendre que Cisco publie des correctifs logiciels pour quatre d’entre eux. Il n’y a pas de solution de contournement disponible pour les vulnérabilités CVE-2022-20964. CVE-2022-20965, CVE-2022-20966 et CVE-2022-20967
Heureusement, ils ne peuvent être exploités que par des utilisateurs ISE valides et autorisés, indique la société. Pour la protection, jusqu’à ce que les correctifs soient publiés, les administrateurs ISE doivent prendre des précautions supplémentaires pour restreindre l’accès à la console et l’accès Web administrateur.
Des mises à jour logicielles ont été publiées pour la cinquième vulnérabilité, CVE-2022-20961, décrite comme une faille dans l’interface de gestion Web d’ISE qui pourrait permettre à un attaquant distant non authentifié de mener une attaque de falsification de requête intersite (CSRF) et d’effectuer des opérations arbitraires.
Selon Cisco, cette vulnérabilité est due à des protections CSRF insuffisantes pour l’interface de gestion Web d’un appareil concerné. Un attaquant pourrait exploiter cette vulnérabilité en persuadant un utilisateur de l’interface de suivre un lien spécialement construit. Un exploit réussi pourrait permettre à l’attaquant d’effectuer des actions arbitraires sur l’appareil affecté avec les privilèges de l’utilisateur cible.
En énumérant quatre vulnérabilités dans un avis, Cisco a noté qu’elles ne dépendent pas les unes des autres pour l’exploitation. De plus, une version logicielle affectée par l’une des vulnérabilités peut ne pas être affectée par les autres vulnérabilités.
Par ailleurs, Cisco a déclaré avoir publié des correctifs de sécurité pour une vulnérabilité dans ISE classée moyenne. CVE-2022-20963 est une vulnérabilité dans l’interface de gestion Web d’ISE qui pourrait permettre à un attaquant distant authentifié de mener une attaque de script intersite (XSS) contre un utilisateur de l’interface sur un appareil affecté.
Adaptation et traduction française par Renaud Larue-Langlois.
