Plusieurs vulnérabilités importantes corrigées dans des produits Cisco

Les équipes de sécurité de Cisco ont publié 8 bulletins de sécurité concernant des vulnérabilités affectant plusieurs de leurs produits. Parmi ces vulnérabilités, 12 sont jugées importantes. L’exploitation de celles-ci a des impacts multiples tels que l’exécution arbitraire de code et de commandes à distance, le déni de service ou encore l’élévation de privilèges,

Des correctifs de sécurité ont été apportés par l’équipe Cisco pour l’ensemble des vulnérabilités. L’exploitation de l’ensemble des vulnérabilités n’est pas connue à ce jour par Cisco, il n’existe pas de code d’exploitation.

Détails techniques :

• CVE-2019-15288 [CVSSv3 8.8] : vulnérabilité dans la vérification des entrées utilisateur. Un attaquant à distance et non authentifié pourrait exploiter cette vulnérabilité pour effectuer une élévation de privilèges.
• CVE-2019-15956 [CVSSv3 8.8] : vulnérabilité lors du contrôle d’autorisation dans l’interface de gestion web. Un attaquant pourrait envoyer une requête HTTP malveillante et changer des paramètres de configuration tels que le mot de passe administrateur, effectuer un déni de service, ou encore gagner en privilèges.
• CVE-2019-15271 [CVSSv3 8.8] : vulnérabilité lors de la validation d’entrées HTTP. Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête HTTP malveillante à l'interface de gestion web du périphérique ciblé. Cela aurait pour effet d’exécuter des commandes avec des privilèges élevés (root)
• CVE-2019-15958 [CVSSv3 8.1] : vulnérabilité dans la vérification des entrées utilisateur. Un attaquant pourrait exploiter celle-ci en envoyant un fichier malveillant, résultant en une exécution arbitraire de code avec des privilèges élevés (root) sur le système sous-jacent.
• CVE-2019-15283 à CVE-2019-15287 [CVSSv3 7.8] :  vulnérabilité dans le mécanisme de validation de certains éléments Webex. L’exploitation de cette vulnérabilité pourrait permettre à un attaquant d’exécuter arbitrairement du code sur la machine d’une victime avec les droits de celle-ci.
• CVE-2019-15276 [CVSSv3 7.7] : vulnérabilité dans l’analyse syntaxique des requêtes HTTP. Un attaquant à distance pourrait causer un déni de service à partir du clic d’un utilisateur authentifié, et dont les privilèges ne sont pas nécessairement élevés, sur un lien malveillant.
• CVE-2019-15289 [CVSSv3 7.5] : vulnérabilité dans la vérification des entrées utilisateur. Cette vulnérabilité pourrait permettre à un attaquant à distance et non authentifié de causer un déni de service.
• CVE-2019-15957 [CVSSv3 7.2] : vulnérabilité dans la vérification des entrées utilisateur. L’exploitation de cette vulnérabilité pourrait permettre à un attaquant authentifié et avec des droits d’administrateur sur le service d’exécuter arbitrairement des commandes sur le système d’opération sous-jacent avec des privilèges élevés (root).