CVE-2016-1289

RCE i ujawnienie danych w API Cisco Prime Infrastructure i EPNM

CVSS 9.8v3.0pub. 2016-07-02upd. 2026-05-06

Podatność w API Cisco Prime Infrastructure (wersje 1.2–3.0) oraz Evolved Programmable Network Manager (EPNM) 1.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub uzyskanie wrażliwych informacji zarządczych bez uwierzytelnienia. Krytyczny poziom zagrożenia wynika z możliwości przejęcia pełnej kontroli nad systemem lub pozyskania danych uwierzytelniających zarządzanych urządzeń sieciowych.

▸ Pokaż oryginał (EN)

The API in Cisco Prime Infrastructure 1.2 through 3.0 and Evolved Programmable Network Manager (EPNM) 1.2 allows remote attackers to execute arbitrary code or obtain sensitive management information via a crafted HTTP request, as demonstrated by discovering managed-device credentials, aka Bug ID CSCuy10231.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie HTTP do interfejsu API podatnego systemu. Błąd sklasyfikowany jako CWE-119 (niewłaściwe ograniczenie operacji w buforze pamięci) pozwala na manipulację pamięcią procesu obsługującego API. Skutkiem może być wykonanie dowolnego kodu lub ujawnienie wrażliwych danych konfiguracyjnych, w tym poświadczeń zarządzanych urządzeń sieciowych.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE) lub uzyskać dostęp do wrażliwych informacji zarządczych, w tym danych uwierzytelniających urządzeń sieciowych zarządzanych przez system. W obu przypadkach możliwe jest całkowite przejęcie kontroli nad infrastrukturą zarządzania siecią.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły w biuletynie Cisco Security Advisory cisco-sa-20160629-piauthbypass dostępnym na stronie Cisco Security Center

Kogo dotyczy

Cisco Prime Infrastructure w wersjach 1.2 do 3.0 oraz Cisco Evolved Programmable Network Manager (EPNM) w wersji 1.2

Uwagi

Podatność była demonstrowana poprzez odkrycie poświadczeń zarządzanych urządzeń (managed-device credentials). Cisco identyfikuje błąd wewnętrznie jako Bug ID CSCuy10231.

CVSS Vector

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Cisco Evolved Programmable Network Manager
APP
Cisco
1.2.0
Cisco Prime Infrastructure
APP
Cisco
1.21.2.0.1031.2.11.31.3.0.201.41.4.0.451.4.11.4.22.02.1.02.22.2\(2\)