Компания Cisco выпустила важное обновление ПО для устранения уязвимостей в Cisco REST API для программного пакета Cisco IOS XE, который набрал 10 баллов из 10 в системе Common Vulnerability Scoring System (CVSS). Благодаря этим уязвимостям, злоумышленник мог отправлять вредоносные HTTP запросы на устройства и, в случае успеха, получить идентификатор аутентифицированного пользователя. Этот идентификатор может быть использован для внесения изменений в конфигурацию на устройствах с Cisco IOS XE.
Cisco REST API - это программный пакет, который предоставляет доступ к виртуализированной среде (OVA), которая должна быть включена на устройствах посредством диспетчера виртуализации (VMAN).
Уязвимость могла быть использована в следующих случаях:
-Устройство работает под управлением уязвимой версии программного обеспечения Cisco IOS XE.
-На устройство была установлена уязвимая версия пакета виртуальной службы Cisco REST API.
- Авторизованный пользователь с уровнем доступа администратора (ур. 15) получает доступ к интерфейсу REST API.
Интерфейс REST API по умолчанию выключен. Чтобы было возможно получить доступ к уязвимости, этот интерфейс должен быть активирован. В свою очередь, его отключение устраняет возможность атаки.
Этой уязвимости подвержены устройства Cisco со старой версией ПО REST API:
- Маршрутизаторы Cisco 4000 серии
- Агрегирующие маршрутизаторы Cisco ASR 1000 серии
- Маршрутизаторы, предназначенные для тесного взаимодействия с облачными сервисами Cisco серии 1000V
- Виртуальные маршрутизаторы Cisco
В Cisco заявили, что выпустили исправленные версии REST API и IOS XE, которые исправляют эти уязвимости. При обновлении, включенный интерфейс REST API выключается и обновляется до новой версии.
