2022-1627: Cisco Application Services Engine, Cisco Nexus Dashboard: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes mit Administratorrechten

Historie:

Version 1 (2022-07-21 16:51): Neues Advisory

Betroffene Software

Office

Betroffene Plattformen

Hardware
Cisco
VMware
Virtualisierung
Hypervisor

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode mit den Rechten des Administrators auszuführen und einen Cross-Site-Request-Forgery (CSRF)-Angriff durchzuführen.

Mehrere weitere Schwachstellen können lokal ausgenutzt werden, um die Rechte von 'root' zu erlangen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Die Schwachstelle CVE-2022-20861 erfordert die Interaktion eines Benutzers.

Cisco informiert über die Schwachstellen und veröffentlicht Cisco Nexus Dashboard 2.2(1h) als Sicherheitsupdate zur Behebung aller Schwachstellen. Einzelne Schwachstellen werden bereits mit den Versionen 2.2(1d) und 2.2(1e) behoben.

Benutzer der Versionszweige 1.1 (Cisco Application Services Engine), 2.0 und 2.1 sind ebenfalls angehalten, auf diese Version zu aktualisieren.

Cisco Nexus Dashboard war vor Version 2.0(1d) unter dem Namen Cisco Application Services Engine bekannt.

Schwachstellen:

CVE-2022-20857

Schwachstelle in Cisco Nexus Dashboard ermöglicht Ausführen beliebigen Programmcodes mit Administratorrechten

CVE-2022-20858

Schwachstelle in Cisco Nexus Dashboard ermöglicht Manipulation von Dateien

CVE-2022-20860

Schwachstelle in Cisco Nexus Dashboard ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-20861

Schwachstelle in Cisco Nexus Dashboard ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2022-20906 CVE-2022-20907 CVE-2022-20908 CVE-2022-20909

Schwachstellen in Cisco Nexus Dashboard ermöglichen Erlangen von Administratorrechten

CVE-2022-20913