Data Center Network Manager
Уязвимости
68
Эксплуатируемые
2
Макс. CVSS
9.8
Макс. EPSS
0.99999
Распределение по критичности
Критический
7
Высокий
27
Средний
34
Низкий
0
Затронутые диапазоны версий
< 11.0\(1\)< 11.3\(1\)< 11.4\(1\)< 11.5\(1\)≤ 11.3\(1\)
Также сопоставлено как (исходные строки): prime_cable_provisioning,telepresence_video_communication_server,data_center_network_manager,crosswork_data_gateway,prime_access_registrar,fog_director,prime_infrastructure,secure_dynamic_attributes_connector,unified_attendant_console_advanced,unified_contact_center_enterprise,unified_contact_center_enterprise_-_live_data_server,crosswork_zero_touch_provisioning
Топ уязвимостей
CVE-2021-44228В Apache Log4j2 с 2.0-beta9 по 2.15.0 (исключая выпуски безопасности 2.12.2, 2.12.3 и 2.3.1) функции JNDI, используемые в конфигурации, сообщениях журнала и параметрах, не защищают от контролируемых злоумышленником LDAP и других связанных с JNDI конечных точек. Злоумышленник, который может контролировать сообщения журнала или параметры сообщений журнала, может выполнить произвольный код, загруженный с серверов LDAP, когда включена подстановка поиска сообщений. В log4j 2.15.0 это поведение отключено по умолчанию. В версии 2.16.0 (вместе с 2.12.2, 2.12.3 и 2.3.1) эта функция была полностью удалена. Обратите внимание, что эта уязвимость относится к log4j-core и не затрагивает log4net, log4cxx или другие проекты Apache Logging Services.
CVE-2020-3382Уязвимость в REST API Cisco Data Center Network Manager (DCNM) может позволить не прошедшему проверку подлинности удаленному злоумышленнику обойти аутентификацию и выполнять произвольные действия с правами администратора на затронутом устройстве. Уязвимость существует из-за того, что в разных установках используется статический ключ шифрования. Злоумышленник может использовать эту уязвимость, используя статический ключ для создания действительного токена сеанса. Успешная эксплуатация может позволить злоумышленнику выполнять произвольные действия через REST API с правами администратора.
CVE-2020-3376Уязвимость в приложении Device Manager Cisco Data Center Network Manager (DCNM) может позволить не прошедшему проверку подлинности удаленному злоумышленнику обойти аутентификацию и выполнять произвольные действия на затронутом устройстве. Уязвимость связана с тем, что программное обеспечение не выполняет надлежащую аутентификацию. Злоумышленник может использовать эту уязвимость, перейдя по одному из размещенных URL-адресов в Cisco DCNM. Успешная эксплуатация может позволить злоумышленнику взаимодействовать и использовать определенные функции в Cisco DCNM.
CVE-2019-1620Уязвимость в веб-интерфейсе управления Cisco Data Center Network Manager (DCNM) может позволить неаутентифицированному удаленному злоумышленнику загружать произвольные файлы на затронутое устройство. Уязвимость возникает из-за неправильных настроек разрешений в затронутом программном обеспечении DCNM. Злоумышленник может воспользоваться этой уязвимостью, загрузив специально созданные данные на затронутое устройство. Успешная эксплуатация может позволить злоумышленнику записывать произвольные файлы в файловую систему и выполнять код с правами root на затронутом устройстве.
CVE-2019-1619Уязвимость в веб-интерфейсе управления Cisco Data Center Network Manager (DCNM) может позволить неаутентифицированному удаленному злоумышленнику обойти аутентификацию и выполнить произвольные действия с правами администратора на затронутом устройстве. Уязвимость возникает из-за неправильного управления сеансами в затронутом программном обеспечении DCNM. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный HTTP-запрос на затронутое устройство. Успешная эксплуатация может позволить злоумышленнику получить административный доступ к затронутому устройству.
CVE-2019-15976Множественные уязвимости в механизмах аутентификации Cisco Data Center Network Manager (DCNM) могут позволить неаутентифицированному удаленному злоумышленнику обойти аутентификацию и выполнить произвольные действия с правами администратора на уязвимом устройстве. Дополнительные сведения об этих уязвимостях см. в разделе "Сведения" этого бюллетеня.
CVE-2019-15975Множественные уязвимости в механизмах аутентификации Cisco Data Center Network Manager (DCNM) могут позволить неаутентифицированному удаленному злоумышленнику обойти аутентификацию и выполнить произвольные действия с правами администратора на уязвимом устройстве. Дополнительные сведения об этих уязвимостях см. в разделе "Сведения" этого бюллетеня.
CVE-2021-1272Уязвимость в функции проверки сеанса Cisco Data Center Network Manager (DCNM) может позволить неаутентифицированному удаленному злоумышленнику обойти средства контроля доступа и провести атаку с подделкой запроса на стороне сервера (SSRF) на целевую систему. Эта уязвимость связана с недостаточной проверкой параметров в определенном HTTP-запросе злоумышленником. Злоумышленник может использовать эту уязвимость, отправив специально созданный HTTP-запрос аутентифицированному пользователю веб-приложения DCNM. Успешная эксплуатация может позволить злоумышленнику обойти средства контроля доступа и получить несанкционированный доступ к приложению Device Manager, которое обеспечивает доступ к сетевым устройствам, управляемым системой.
CVE-2021-1247Множественные уязвимости в определенных конечных точках REST API Cisco Data Center Network Manager (DCNM) могут позволить прошедшему проверку подлинности удаленному злоумышленнику выполнить произвольные команды SQL на уязвимом устройстве. Для получения дополнительной информации об этих уязвимостях см. раздел «Подробности» в этом бюллетене.
CVE-2020-3386Уязвимость в конечной точке REST API Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности удаленному злоумышленнику с учетной записью с низкими привилегиями обойти авторизацию в API затронутого устройства. Уязвимость связана с недостаточной авторизацией определенных функций API. Злоумышленник может использовать эту уязвимость, отправив специально созданный запрос в API, используя учетные данные с низкими привилегиями. Успешная эксплуатация может позволить злоумышленнику выполнять произвольные действия через REST API с правами администратора.
CVE-2020-3383Уязвимость в утилите архивирования Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности удаленному злоумышленнику проводить атаки с обходом каталогов на затронутом устройстве. Уязвимость связана с отсутствием надлежащей проверки входных данных путей, встроенных в архивные файлы. Злоумышленник может использовать эту уязвимость, отправив специально созданный запрос на затронутое устройство. Успешная эксплуатация может позволить злоумышленнику записывать произвольные файлы в систему с привилегиями вошедшего в систему пользователя.
CVE-2020-3377Уязвимость в приложении Device Manager Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности удаленному злоумышленнику внедрять произвольные команды на затронутом устройстве. Уязвимость связана с недостаточной проверкой вводимых пользователем данных. Злоумышленник может использовать эту уязвимость, отправив специально созданные аргументы в определенное поле в приложении. Успешная эксплуатация может позволить злоумышленнику выполнять команды от имени администратора на DCNM.
CVE-2020-3114Уязвимость в веб-интерфейсе управления Cisco Data Center Network Manager (DCNM) может позволить не прошедшему проверку подлинности удаленному злоумышленнику провести атаку с подделкой межсайтовых запросов (CSRF) на уязвимую систему. Уязвимость связана с недостаточной защитой CSRF для веб-интерфейса управления на уязвимом устройстве. Злоумышленник может воспользоваться этой уязвимостью, убедив пользователя интерфейса перейти по вредоносной ссылке, имея активный сеанс на уязвимом устройстве. Успешная эксплуатация может позволить злоумышленнику выполнять произвольные действия с уровнем привилегий целевого пользователя.
CVE-2020-3112Уязвимость в конечной точке REST API Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности удаленному злоумышленнику повысить привилегии в приложении. Уязвимость связана с недостаточной проверкой контроля доступа. Злоумышленник может воспользоваться этой уязвимостью, пройдя проверку подлинности с учетной записью с низкими привилегиями и отправив специально созданный запрос в API. Успешная эксплуатация может позволить злоумышленнику взаимодействовать с API с правами администратора.
CVE-2018-0210Уязвимость в веб-интерфейсе управления Cisco Data Center Network Manager может позволить неаутентифицированному удаленному злоумышленнику провести атаку с подделкой межсайтовых запросов (CSRF) и выполнить произвольные действия на затронутом устройстве. Уязвимость связана с недостаточной защитой CSRF в веб-интерфейсе управления затронутого устройства. Злоумышленник может использовать эту уязвимость, убедив пользователя интерфейса перейти по специально созданной ссылке. Успешная эксплуатация может позволить злоумышленнику выполнять произвольные действия на целевом устройстве через веб-браузер и с привилегиями пользователя. Cisco Bug IDs: CSCvg88291.
CVE-2017-12343Множественные уязвимости в программном обеспечении Cisco Data Center Network Manager (DCNM) могут позволить удаленному злоумышленнику внедрять произвольные значения в параметры конфигурации DCNM, перенаправлять пользователя на вредоносный веб-сайт, внедрять вредоносное содержимое в интерфейс клиента DCNM или проводить межсайтовый скриптинг (XSS) против пользователя уязвимого программного обеспечения. Идентификаторы ошибок Cisco: CSCvf40477, CSCvf63150, CSCvf68218, CSCvf68235, CSCvf68247.
CVE-2020-3384Уязвимость в определенных конечных точках REST API Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности удаленному злоумышленнику внедрять произвольные команды в базовую операционную систему с привилегиями вошедшего в систему пользователя. Уязвимость связана с недостаточной проверкой вводимых пользователем данных в API. Злоумышленник может использовать эту уязвимость, отправив специально созданный запрос в API. Успешная эксплуатация может позволить злоумышленнику внедрять произвольные команды в базовую операционную систему.
CVE-2020-3538Уязвимость в определенной конечной точке REST API программного обеспечения Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности удаленному злоумышленнику выполнить атаку с обходом пути на затронутом устройстве.
Уязвимость связана с недостаточным обеспечением ограничений пути. Злоумышленник может воспользоваться этой уязвимостью, отправляя специально созданные HTTP-запросы на затронутое устройство. Успешная эксплуатация может позволить злоумышленнику перезаписывать или перечислять произвольные файлы на затронутом устройстве. Cisco выпустила обновления программного обеспечения, устраняющие эту уязвимость. Не существует обходных путей, устраняющих эту уязвимость.
CVE-2020-3519Уязвимость в определенном методе REST API программного обеспечения Cisco Data Center Network Manager (DCNM) может позволить аутентифицированному удаленному злоумышленнику провести атаку с обходом пути на затронутом устройстве. Уязвимость связана с недостаточной проверкой вводимых пользователем данных в API. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный запрос в API. Успешная эксплуатация может позволить злоумышленнику перезаписать произвольные файлы на затронутом устройстве.
CVE-2020-3380Уязвимость в CLI Cisco Data Center Network Manager (DCNM) может позволить прошедшему проверку подлинности локальному злоумышленнику повысить привилегии до root и выполнять произвольные команды в базовой операционной системе. Уязвимость связана с недостаточными ограничениями во время выполнения затронутой команды CLI. Злоумышленник может использовать эту уязвимость, пройдя аутентификацию как пользователь fmserver и отправив вредоносные входные данные в определенную команду. Успешная эксплуатация может позволить злоумышленнику повысить привилегии до root и выполнять произвольные команды в базовой операционной системе.
CVE-2023-44487Протокол HTTP/2 допускает отказ в обслуживании (потребление ресурсов сервера), поскольку отмена запроса может быстро сбросить множество потоков, как это было использовано в реальных условиях с августа по октябрь 2023 года.
CVE-2019-1621Уязвимость в веб-интерфейсе управления Cisco Data Center Network Manager (DCNM) может позволить неаутентифицированному удаленному злоумышленнику получить доступ к конфиденциальным файлам на затронутом устройстве. Уязвимость возникает из-за неправильных настроек разрешений в затронутом программном обеспечении DCNM. Злоумышленник может воспользоваться этой уязвимостью, подключившись к веб-интерфейсу управления затронутого устройства и запросив определенные URL-адреса. Успешная эксплуатация может позволить злоумышленнику загружать произвольные файлы из базовой файловой системы затронутого устройства.
CVE-2019-15977Множественные уязвимости в механизмах аутентификации Cisco Data Center Network Manager (DCNM) могут позволить неаутентифицированному удаленному злоумышленнику обойти аутентификацию и выполнить произвольные действия с правами администратора на уязвимом устройстве. Дополнительные сведения об этих уязвимостях см. в разделе "Сведения" этого бюллетеня.
CVE-2011-4650Cisco Data Center Network Manager подвержен чрезмерному ведению журнала во время TCP-флуда на портах Java. Если размер server.log становится очень большим из-за слишком большого количества записей, сделанных сервером DCNM, то увеличивается загрузка ЦП. Известные уязвимые выпуски: 5.2(1). Известные исправленные выпуски: 6.0(0)SL1(0.14) 5.2(2.73)S0. Идентификация продукта: CSCtt15295.
CVE-2021-1133Множественные уязвимости в конечной точке REST API Cisco Data Center Network Manager (DCNM) могут позволить аутентифицированному удаленному злоумышленнику просматривать, изменять и удалять данные без надлежащей авторизации. Для получения дополнительной информации об этих уязвимостях см. раздел «Подробности» этого уведомления.