Cisco Data Center Network Manager操作系统号令注入缝隙风险公告

颁布功夫 2020-01-06

缝隙编号和级别


CVE编号：CVE-2019-15978，危险级别：高危，CVSS分值：厂商自评：7.2，官方未评定

CVE编号：CVE-2019-15979，危险级别：高危，CVSS分值：厂商自评：7.2，官方未评定


影响版本


Cisco Data Center Network Manager 11.3(1)之前版本


缝隙概述


Cisco Data Center Network Manager是美国思科（Cisco）公司的一套数据中心治理系统。该系统合用于Cisco Nexus和MDS系列互换机，提供存储可视化、配置和故障排除等职能。


CVE-2019-15978

Cisco Data Center Network Manager 11.3(1)之前版本中的REST API存在操作系统号令注入缝隙，该缝隙源于法式没有充分验证提交到该API的用户输入。远程攻击者可通过发送特造的要求利用该缝隙以治理权限执行肆意号令。


CVE-2019-15979

Cisco Data Center Network Manager 11.3(1)之前版本中的SOAP API存在操作系统号令注入缝隙，该缝隙源于法式没有充分验证提交到该API的用户输入。远程攻击者可通过发送特造的要求利用该缝隙以治理权限执行肆意号令。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-comm-inject。


参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-comm-inject