Cisco opdaterer Identity Services Engine

Cisco har frigivet patches til sårbarheder i Cisco Identity Services Engine, security appliance og BroadWorks CommPilot-produkter. Det skriver Itnews på baggrund af udsendte advisories fra Ciscos.

Dermed er der sket en opfølning på de to sårbarheder i Cisco ISE, der blev annonceret erkendt i uge 43, men uden rettelser.

De berørte systemer er  

• Cisco ISE
• Cisco BroadWorks CommPilot Application
• Cisco ESA
• Cisco Secure Email and Web Manager

Sårbarheden i Cisco ISE skyldes ukorrekt adgangskontrol i den webbaserede administrationsgrænseflade. Sårbarheden kan udnyttes til at downloade, vise og slette visse filer. Der er desuden en sårbarhed som skyldes utilstrækkelig CSRF-beskyttelse til den webbaserede administrationsgrænseflade.

Cisco BroadWorks CommPilot Application indeholder flere sårbarheder i den webbaserede administrationsgrænseflade i Cisco BroadWorks. Sårbarheden kan give en angriber mulighed for at udføre vilkårlig kode på en sårbar enhed.

Endelig er der flere sårbarheder i næste generations UI-administrationsgrænseflade til Cisco Email Security Appliance (ESA), Cisco Secure Email and Web Manager og Cisco Secure Web Appliance, tidligere kendt som Cisco Web Security Appliance (WSA). Disse kan give en angriber mulighed for at øge privilegier eller at udføre et SQL-injection angreb og opnå root-rettigheder.

Alle sårbarheder er vurderet som værende alvorlige, dvs. de har en CVSS-score på op til 9. Der er ikke indrapporteret udnyttelse af sårbarhederne.

Links:

https://www.itnews.com.au/news/ciscos-patch-day-plugs-six-vulnerabilitie...
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/ci...
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/ci...
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/ci...
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/ci...