Cisco は、Data Center Network Manager の一連のパッチのリリースで 2020 年をスタートさせます。
これらのアップデートは、合計12件のCVEリストに掲載されているパッチに対応しており、深刻度は中から重大までの範囲に及びますが、深刻度に関わらずすべてパッチを適用する必要があります。ほぼすべての脆弱性は、REST APIとSOAP APIに存在していました。
当面の優先事項は、認証なしでリモートから悪用される可能性のある 3 つの認証バイパス バグである CVE-201915975、CVE-201915976、および CVE-201915975 をクリーンアップすることです。
これら3つの脆弱性はすべて、DCNMで使用される静的暗号化キーまたは認証情報の使用に関連しています。CVE-2019-15975は、攻撃者がREST API経由で静的キーを使用し、管理者権限を付与する新しい有効なセッショントークンを作成できる脆弱性です。CVE-2019-15976はSOAP API経由の同様の脆弱性について記述しており、CVE-2019-15977は「特定の機密情報」へのアクセスのみを許可する静的認証情報について記述しています。しかし、その情報は他の攻撃にも利用される可能性があります。
DCNMのパストラバーサルに関する3つの脆弱性も修正されました。これらの脆弱性は、それ自体でも深刻なものですが、前述の認証バイパスの脆弱性と組み合わせると、さらに大きなリスクとなります。攻撃者は認証バイパスの脆弱性を悪用して管理者アクセスを取得し、その後パストラバーサルの脆弱性を利用して他のデバイスやデータにアクセスすることが可能になります。これらの脆弱性は、CVE-2019-15980およびCVE-2019-15981と指定されています。
シスコはトールキンの指輪をはめる。全てを支配するチップ設計、全てを見つける設計。全てを繋ぐ設計…
続きを読む
CVE-2019-15984とCVE-2019-15985は、REST APIとSOAP APIに存在するSQLインジェクションの脆弱性であり、リモートの攻撃者が任意のSQLコマンドを送信できる可能性があります。CVE-2019-15978とCVE-2019-15979は、どちらもOSコマンドのリモートインジェクションを許します。
情報漏洩は、シスコがXML外部エンティティ読み取りアクセス（EOA）の脆弱性と説明しているCVE-2019-15983によっても発生する可能性があります。これは基本的に、攻撃者がSOAP APIコマンドを使用してXMLを送信し、任意のファイルを読み取ることができるというものです。これには管理者アクセスが必要ですが、幸いなことに、これは以前のバイパス脆弱性の1つを悪用することで取得できます。前述の通り、連鎖的なエクスプロイトにはご注意ください。
最後に、CVE-2019-15999 という脆弱性があります。この脆弱性により、リモートの攻撃者が、ローカル アカウントのみがアクセスできるコンポーネントである JBoss Enterprise Application Platform に低い権限でアクセスできるようになる可能性があります。
管理者は、できるだけ早くすべてのパッチを確認し、テストし、インストールすることをお勧めします。®
