Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Prime Infrastructure 3.2(0.0)
Betroffene Plattformen:
Cisco Hardware
Ein entfernter, einfach authentisierter Angreifer kann eine Schwachstelle in
Cisco Prime Infrastructure ausnutzen, um bösartigen Programmcode in eine
Webseite der administrativen Webschnittstelle zu injizieren und
darzustellen.
Cisco informiert über die Schwachstelle und verweist bezüglich betroffener
Versionen auf die Cisco Bug ID CSCve47074. Darin wird die Version 3.2(0.0)
unter ‘Known Affected Releases’ genannt, der Status wird mit ‘Fixed’
angegeben und unter ‘Known Fixed Releases’ wird auf ‘Download Software for
Cisco Prime Infrastructure’ verlinkt, wo aktuell Pakete vom 21-JUN-2017 für
das Release 3.2 angeboten werden.
Patch:
Cisco Security Advisory cisco-sa-20170816-cpi (CVE-2017-6782)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170816-cpi
CVE-2017-6782: Schwachstelle in Cisco Prime Infrastructure ermöglicht
HTML-Injection-Angriff
Aufgrund unzureichender Bereinigung von Werten aus Parametern existiert eine
Schwachstelle in der administrativen Webschnittstelle von Cisco Prime
Infrastructure. Ein Angreifer kann die Schwachstelle ausnutzen, indem er
bösartigen HTML-Programmcode in einen betroffenen Parameter injiziert (HTML
Injection) und dazu einen Benutzer verleitet eine Webseite zu besuchen,
welche die Darstellung des injizierten Programmcodes auslöst.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1455/
Cisco Security Advisory cisco-sa-20170816-cpi (CVE-2017-6782):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170816-cpi
Schwachstelle CVE-2017-6782 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6782
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
