Vulnerabilità critica in Cisco Prime License Manager

29/11/2018

Cisco Patch Vulnerabilità

Cisco nella giornata di ieri 28 novembre 2018 ha rilasciato un aggiornamento di sicurezza che va a risolvere una vulnerabilità critica di tipo Sql Injection in Cisco Prime License Manager (PLM) prodotto che offre una gestione semplificata, a livello aziendale, delle licenze utente.

La vulnerabilità potrebbe permettere a un utente malintenzionato remoto non autenticato di eseguire query SQL malevoli.

Descrizione delle vulnerabilità

La vulnerabilità a cui è associato il CVE-2018-15441 è dovuta ad una non corretta convalida dell’input fornito dall’utente nelle query SQL. In uno scenario di attacco, un utente malintenzionato potrebbe sfruttare questa vulnerabilità attraverso l’invio di richieste HTTP POST contenenti istruzioni SQL malevoli. Se sfruttata con successo la falla potrebbe consentire all’attaccante di modificare ed eliminare dati arbitrari nel database PLM o ottenere l’accesso alla shell con i privilegi dell’utente postgres.

Le versioni di Cisco PLM a partire dalla 11.0.1 risultano affette dalla vulnerabilità.

Soluzione

Il vendor, non ha evidenze dello sfruttamento delle vulnerabilità sopra riportate, inoltre, non esistono soluzioni alternative per risolvere tale vulnerabilità, quindi gli amministratori dovrebbero implementare gli aggiornamenti offerti da Cisco.

Per maggiori dettagli sulle vulnerabilità, sui prodotti affetti, sulle possibili contromisure e sugli aggiornamenti disponibili, si raccomanda agli utenti e agli amministratori di sistemi Cisco di consultare i bollettini di sicurezza dalla pagina ufficiale.