Cisco IOS XE软件Web UI跨站点要求伪造缝隙安全公告

颁布功夫 2019-06-14

缝隙编号和级别


CVE编号 ：：：CVE-2019-1904，，危险级别 ：：：高危，，CVSS分值 ：：：厂商自评 ：：：8.8，，官方未评定


影响版本


受影响的版本


合用于Cisco IOS XE软件版本且启用了HTTP Server职能的Cisco设备。�！！！�


缝隙概述


Cisco IOS XE是美国思科（Cisco）公司的一套为其网络设备开发的操作系统。�！！！isco IOS XE Software中的Web UI存在CSRF缝隙，，允许未经身份验证的远程攻击者对受影响的系统进行跨站点要求伪造（CSRF）攻击。�！！！�


该缝隙是由于受影响设备上的Web UI的CSRF保唬护不及。�！！！９セ髡吣芄煌ü捣涌诘挠没ё裱褚饬唇永蠢么朔煜�。�！！！３晒每赡茉市砉セ髡呤褂檬苡跋煊没У娜ㄏ藜侗鹬葱兴烈獠僮�。�！！！Ｈ羰怯没в涤兄卫砣ㄏ�，，则攻击者能够更改配置，，执行号令或重新加载受影响的设备。�！！！�


缝隙验证


暂无POC/EXP。�！！！�


修复建议


禁用HTTP Server职能可解除此缝隙的攻击媒介，，并且可能是适当的缓解措施，，直到能够升级受影响的设备。�！！！�


参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190612-iosxe-csrf