Cisco ISE の脆弱性 CVE-2022-20964:ワンクリックで悪用の可能性

Cisco ISE Vulnerabilities Can Be Chained in One-Click Exploit

2022/11/28 SecurityWeek — Cisco の Identity Services Engine (ISE) に存在する、複数の脆弱性の悪用に成功したリモートの攻撃者が、任意のコマンドの注入/既存のセキュリティ保護の迂回/クロスサイト・スクリプティング (XSS) 攻撃などを実行するかもしれない。Cisco ISEは、ID ベース の NAC (network access control) および policy enforcement system であり、管理者に対してエンドポイント・アクセス制御やネットワーク・デバイス管理の機能を提供する。

Continue reading “Cisco ISE の脆弱性 CVE-2022-20964:ワンクリックで悪用の可能性”

Cisco ISE の深刻な脆弱性 CVE-2022-20961 などが FIX:OpenSSL の問題は調査中

Cisco addressed several high-severity flaws in its products

2022/11/04 SecurityAffairs — 今回 Cisco が対応したのは、Identity/eMail/Web Security 製品群における深刻な脆弱性を含む、同社製品に影響を及ぼす複数の欠陥である。その中で最も深刻なものは、Identity Services Engine (ISE) に存在する、クロス・サイト・リクエスト・フォージェリ (CSRF) の脆弱性 CVE-2022-20961 (CVSS:8.8) である。この脆弱性の悪用に成功した未認証のリモート攻撃者は、脆弱なデバイス上で任意のアクションを実行できる。この問題の根本的な原因は、影響を受けるデバイスの Web ベースの管理インターフェイスの不十分な CSRF 対策にある。

Continue reading “Cisco ISE の深刻な脆弱性 CVE-2022-20961 などが FIX:OpenSSL の問題は調査中”

Cisco Identity Services Engine の2つの XSS 脆弱性:パッチ適用と PoC までの間の対策とは?

Vulnerabilities in Cisco Identity Services Engine require your attention (CVE-2022-20822, CVE-2022-20959)

2022/10/21 HelpNetSecurity — Cisco は、Cisco Identity Services Engine (ISE) の管理者に対して、同プロダクトに存在する2つの脆弱性 CVE-2022-20822/CVE-2022-20959 への注意喚起を発表した。これらの悪用に成功した驚異アクターは、影響を受けるデバイス上のファイルの読み取りや削除/任意のスクリプトの実行/機密情報へのアクセスなどが可能になる。

Continue reading “Cisco Identity Services Engine の2つの XSS 脆弱性:パッチ適用と PoC までの間の対策とは?”