CVE-2015-6435

Podatny skrypt CGI dostępny przez interfejs HTTP nie filtruje poprawnie danych wejściowych dostarczanych przez atakującego, co odpowiada klasyfikacji CWE-78 (Improper Neutralization of Special Elements used in an OS Command). Atakujący może przesłać specjalnie spreparowane żądanie HTTP zawierające złośliwy payload, który zostaje przekazany bezpośrednio do powłoki systemowej. W ten sposób możliwe jest wykonanie dowolnych poleceń z uprawnieniami procesu obsługującego żądanie, bez konieczności posiadania jakichkolwiek poświadczeń.

Atakujący może uzyskać pełną kontrolę nad podatnym urządzeniem — odczytać i zmodyfikować poufne dane konfiguracyjne, zainstalować złośliwe oprogramowanie lub całkowicie zakłócić działanie systemu (naruszenie poufności, integralności i dostępności na poziomie HIGH).

Należy zaktualizować oprogramowanie do wersji: Cisco FX-OS 1.1.2 lub nowszej; Cisco UCS Manager 2.2(4b), 2.2(5a) lub 3.0(2e) bądź nowszych. Szczegółowe informacje oraz patche dostępne są w oficjalnym biuletynie Cisco (cisco-sa-20160120-ucsm). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych sieci.

Cisco FX-OS w wersjach przed 1.1.2 na urządzeniach Firepower 9000; Cisco Unified Computing System (UCS) Manager w wersjach przed 2.2(4b), w gałęzi 2.2(5) przed 2.2(5a) oraz w gałęzi 3.0 przed 3.0(2e).

Dla podatności opublikowany jest publiczny exploit dostępny w serwisie Packet Storm Security (plik 160991), dotyczący Cisco UCS Manager 2.2(1d). Błąd identyfikowany jest przez Cisco jako Bug ID CSCur90888.