Cisco IOS XE软件Web UI跨站点要求伪造缝隙安全公告

颁布功夫 2019-06-14

缝隙编号和级别


CVE编号：CVE-2019-1904，危险级别：高危，CVSS分值：厂商自评：8.8，官方未评定


影响版本


受影响的版本


合用于Cisco IOS XE软件版本且启用了HTTP Server职能的Cisco设备。


缝隙概述


Cisco IOS XE是美国思科（Cisco）公司的一套为其网络设备开发的操作系统。Cisco IOS XE Software中的Web UI存在CSRF缝隙，允许未经身份验证的远程攻击者对受影响的系统进行跨站点要求伪造（CSRF）攻击。


该缝隙是由于受影响设备上的Web UI的CSRF�；げ患�。攻击者能够通过说服接口的用户遵循恶意链接来利用此缝隙。成功利用可能允许攻击者使用受影响用户的权限级别执行肆意操作。若是用户拥有治理权限，则攻击者能够更改配置，执行号令或沉新加载受影响的设备。


缝隙验证


暂无POC/EXP。


建复建议


禁用HTTP Server职能可解除此缝隙的攻击媒介，并且可能是适当的缓解措施，直到能够升级受影响的设备。


参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190612-iosxe-csrf