2017-1355: Cisco Identity Services Engine: Eine Schwachstelle ermöglicht das Erlangen von Administratorrechten

Historie:

Version 1 (2017-08-03 13:58)

Neues Advisory

Betroffene Software

Netzwerk
Sicherheit

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in der Richtlinienzuweisung in der Cisco Identity Services Engine (ISE) ausnutzen, indem er sich mit einem gültigen externen Benutzerkonto anmeldet, dessen Benutzername mit dem eines internen Benutzers übereinstimmt, wodurch dieser fälschlicherweise die Autorisierungsrichtlinien des internen Benutzers erhält. Im ungünstigsten Fall kann der Angreifer dadurch 'Super Admin'-Privilegien auf dem ISE Admin-Portal erlangen.

Cisco bestätigt die Schwachstelle für die Versionszweige 1.3, 1.4, 2.0.0, 2.0.1 und 2.1.0 der Cisco Identity Services Engine für Cisco ISE, Cisco ISE Express sowie Cisco ISE Virtual Appliance und stellt Sicherheitsupdates bereit. Benutzern des Releases 1.3 wird empfohlen auf die Version 1.4.0 zu migrieren und den für diese Version existierenden Patch 11 zu installieren. Für die Version 2.0.0 steht Patch 5 und für Version 2.1.0 Patch 2 als Sicherheitsupdate zur Verfügung. Für die Version 2.0.1 ist der Patch 5 geplant, der derezeit allerdings noch nicht veröffentlicht ist, weshalb Cisco den Benutzern dieser Version empfiehlt auf eine andere fehlerbereinigte oder nicht verwundbare Version zu migrieren. Der Versionszweig 2.2.x ist von der Schwachstelle nicht betroffen.

In der korrespondierenden CVRF-Version der Cisco Sicherheitsmeldung werden die durch die Schwachstelle verwundbaren Versionen konkretisiert (siehe Angaben zur verwundbaren Software in dieser Meldung). Allerdings wird die in der Cisco Bug-ID CSCvb10995 aufgeführte Version 2.0(0.306) in der CVRF-Datei nicht aufgelistet.

Schwachstellen:

CVE-2017-6747

Schwachstelle in Cisco Identity Services Engine ermöglicht Erlangen von Administratorrechten

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.