CVE-2019-12643

Cisco IOS XE REST API — pominięcie uwierzytelnienia w kontenerze wirtualnym

CVSS 10.0v3.0pub. 2019-08-28upd. 2024-11-21

Podatność w kontenerze wirtualnym Cisco REST API dla oprogramowania Cisco IOS XE umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie mechanizmu uwierzytelnienia na zarządzanym urządzeniu. Uzyskanie tokenu sesji uwierzytelnionego użytkownika pozwala na wykonanie uprzywilejowanych operacji przez interfejs REST API.

▸ Pokaż oryginał (EN)

A vulnerability in the Cisco REST API virtual service container for Cisco IOS XE Software could allow an unauthenticated, remote attacker to bypass authentication on the managed Cisco IOS XE device. The vulnerability is due to an improper check performed by the area of code that manages the REST API authentication service. An attacker could exploit this vulnerability by submitting malicious HTTP requests to the targeted device. A successful exploit could allow the attacker to obtain the token-id of an authenticated user. This token-id could be used to bypass authentication and execute privileged actions through the interface of the REST API virtual service container on the affected Cisco IOS XE device. The REST API interface is not enabled by default and must be installed and activated separately on IOS XE devices. See the Details section for more information.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej weryfikacji w kodzie odpowiedzialnym za obsługę usługi uwierzytelnienia REST API. Atakujący wysyła spreparowane żądania HTTP do docelowego urządzenia, co pozwala mu pozyskać token-id aktywnej sesji uwierzytelnionego użytkownika. Zdobyty token umożliwia następnie pominięcie standardowego procesu uwierzytelnienia i wykonywanie uprzywilejowanych działań za pośrednictwem interfejsu kontenera wirtualnego REST API. Interfejs REST API nie jest domyślnie włączony — wymaga osobnej instalacji i aktywacji na urządzeniach IOS XE.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do uprzywilejowanych funkcji zarządzania urządzeniem przez interfejs REST API, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, naruszenia poufności konfiguracji oraz integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (Cisco Security Advisory cisco-sa-20190828-iosxe-rest-auth-bypass). Jeśli interfejs REST API virtual service container nie jest wymagany, należy go dezaktywować lub nie instalować, aby wyeliminować powierzchnię ataku.

Kogo dotyczy

Cisco IOS XE Software z zainstalowanym i aktywowanym kontenerem wirtualnym Cisco REST API, w tym urządzenia: Cisco 4221 Integrated Services Router, Cisco 4321 Integrated Services Router, Cisco 4331 Integrated Services Router. Szczegółowe wersje wskazane w referencjach producenta.

Uwagi

Interfejs REST API nie jest włączony domyślnie — podatność dotyczy wyłącznie urządzeń, na których usługa została ręcznie zainstalowana i aktywowana. Mimo oceny CVSS 10.0 ryzyko jest ograniczone do tej specyficznej konfiguracji.