CVE-2021-34746

Cisco NFVIS: pominięcie uwierzytelnienia TACACS+ przez injection parametrów

CVSS 9.8v3.1pub. 2021-09-02upd. 2024-11-21

Podatność w funkcji TACACS+ AAA systemu Cisco Enterprise NFV Infrastructure Software (NFVIS) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie mechanizmu uwierzytelnienia i zalogowanie się na urządzenie z uprawnieniami administratora. Ze względu na brak wymaganej interakcji użytkownika i sieciowy wektor ataku, podatność stanowi krytyczne zagrożenie dla dostępności i integralności chronionych zasobów.

▸ Pokaż oryginał (EN)

A vulnerability in the TACACS+ authentication, authorization and accounting (AAA) feature of Cisco Enterprise NFV Infrastructure Software (NFVIS) could allow an unauthenticated, remote attacker to bypass authentication and log in to an affected device as an administrator. This vulnerability is due to incomplete validation of user-supplied input that is passed to an authentication script. An attacker could exploit this vulnerability by injecting parameters into an authentication request. A successful exploit could allow the attacker to bypass authentication and log in as an administrator to the affected device.

🤖 Analiza AI

Jak działa

Podatność wynika z niepełnej walidacji danych dostarczanych przez użytkownika, które są przekazywane do skryptu uwierzytelniającego obsługującego TACACS+. Atakujący może przeprowadzić atak typu parameter injection, wstrzykując dodatkowe parametry do żądania uwierzytelnienia. W wyniku tego skrypt uwierzytelniający przetwarza zmanipulowane dane w sposób, który pozwala ominąć faktyczną weryfikację tożsamości (CWE-289, CWE-287).

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu uzyskać pełny dostęp administracyjny do urządzenia bez znajomości prawidłowych danych uwierzytelniających, co stwarza ryzyko całkowitego przejęcia kontroli nad infrastrukturą wirtualizacji sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (Cisco Security Advisory cisco-sa-nfvis-g2DMVVh). Jako obejście tymczasowe — jeśli funkcja TACACS+ nie jest wymagana — należy rozważyć jej wyłączenie do czasu wdrożenia aktualizacji.

Kogo dotyczy

Cisco Enterprise NFV Infrastructure Software (NFVIS) — konkretne wersje wskazane w referencjach producenta (Cisco Security Advisory cisco-sa-nfvis-g2DMVVh); podatność dotyczy wyłącznie konfiguracji z włączoną funkcją TACACS+ AAA

Uwagi

Badanie podatności zostało opublikowane przez Orange CERT CC (orangecertcc) w ramach ich programu security research, co potwierdza referencja do publicznego advisory na GitHub (GHSA-gqx8-c4xr-c664).