シスコは、Cisco E メール セキュリティ アプライアンス、Cisco Secure Email and Web Manager、および Cisco Secure Web Appliance Next Generation Management 製品におけるセキュリティの脆弱性を報告しています。 攻撃者は、SQL インジェクション攻撃を実行したり、root 権限を取得したりする可能性があります。 アップデートの準備ができました。
Cisco E メール セキュリティ アプライアンス（ESA）、Cisco Secure Email and Web Manager、Cisco Secure Web Appliance（旧称 Cisco Web Security Appliance（WSA））の次世代 UI 管理インターフェイスに複数の脆弱性があるため、攻撃者が権限を取得できる可能性があります。 SQL インジェクション攻撃を昇格または実行し、root 権限を取得します。
シスコからのセキュリティ脆弱性の更新
- CVE-2022-20868 は、Cisco ESA および Cisco Secure Email and Web Manager に影響します。
- CVE-2022-20867 は、Cisco ESA、Cisco Secure Email and Web Manager、および Cisco Secure Web Appliance に影響します。
シスコは、これらの脆弱性に対処するソフトウェア アップデートをリリースしました。 これらの脆弱性に対処する回避策はありません。
CVE-2022-20867
Cisco ESA および Cisco Secure Email and Web Manager Next Generation Management SQL インジェクションの脆弱性
次世代の Cisco ESA および Cisco Secure Email and Web Manager UI 管理インターフェイスの脆弱性により、認証されたリモートの攻撃者が SQL インジェクション攻撃を ルート 影響を受けるシステムで実行する必要があります。 攻撃者がこの脆弱性を悪用するには、高度な特権を持つユーザー アカウントの資格情報が必要です。
この脆弱性は、ユーザーが送信したパラメーターの検証が不適切なために発生します。 攻撃者は、アプリケーションに対して認証を行い、影響を受けるシステムに悪意のあるリクエストを送信することで、この脆弱性を悪用する可能性があります。 エクスプロイトに成功すると、攻撃者は、影響を受けるシステムの基盤となるデータベースに保存されているデータを取得または変更できる可能性があります。
セキュリティ影響評価 (SIR): 高、CVSS ベースライン: 4,7
CVE-2022-20868
Cisco ESA、Cisco Secure Email and Web Manager、および Cisco Secure Web Appliance Next Generation Management 権限昇格の脆弱性
Cisco ESA、Cisco Secure Email and Web Manager、および Cisco Secure Web Appliance の次世代 UI 管理インターフェイスの脆弱性により、認証されたリモート攻撃者が影響を受けるシステムで権限を昇格できる可能性があります。
この脆弱性は、ハードコードされた値を使用して、特定の API 呼び出しに使用されるトークンを暗号化することが原因です。 攻撃者は、影響を受けるデバイスを認証し、巧妙に細工された HTTP 要求を送信することで、この脆弱性を悪用する可能性があります。 悪用に成功すると、攻撃者は別の有効なユーザーになりすまし、そのユーザー アカウントの権限でコマンドを実行できる可能性があります。
セキュリティ影響評価 (SIR): 中、CVSS ベースライン: 5,4
詳細は Cisco.com をご覧ください
シスコについて
シスコは、インターネットを可能にする世界有数のテクノロジー企業です。 シスコは、グローバルで包括的な未来に向けて、アプリケーション、データ セキュリティ、インフラストラクチャ トランスフォーメーション、およびチームのエンパワーメントに新たな可能性を切り開いています。