Cisco Identity Services Engine (ISE) 安全特性绕过漏洞(CVE-2022-20961)

漏洞详情

Cisco Identity Services Engine (ISE)的 Web 管理界面中的漏洞可能允许未经身份验证的远程攻击者进行跨站点请求伪造 (CSRF) 攻击并在受影响的设备上执行任意操作。此漏洞是由于受影响设备的基于 Web 的管理界面的 CSRF 保护不足。攻击者可以通过诱使界面用户点击精心制作的链接来利用此漏洞。成功的利用可能允许攻击者以目标用户的权限在受影响的设备上执行任意操作。漏洞评分8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)。

漏洞状态

未发布PoC和EXP，未发现在野利用。

影响范围

Cisco Identity Services Engine (ISE) <= 2.4

Cisco Identity Services Engine (ISE) = 2.6p12

Cisco Identity Services Engine (ISE) = 2.7p8

Cisco Identity Services Engine (ISE) = 3.0p6

Cisco Identity Services Engine (ISE) = 3.1p4

修复建议

目前这些漏洞已经修复，受影响用户可到官网安装补丁进行修复。

下载链接：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-csrf-vgNtTpAs

参考链接

https://nox.qianxin.com/vulnerability/detail/QVD-2022-43608