Cisco 修復了 BPA 和 WSA 中的高嚴重性問題

思科針對業務流程自動化 (BPA) 和網絡安全設備 (WSA) 中的高嚴重性漏洞發布了安全補丁，這些漏洞使用戶面臨權限提升攻擊。

這家 IT 巨頭修復了業務流程自動化 (BPA) 中的兩個漏洞（CVE-2021-1574、CVE-2021-1576），經過身份驗證的攻擊者可以遠程利用它們將其權限提升為管理員。這兩個問題都存在于業務流程自動化 (BPA) 的基于 Web 的管理界面中，它們的 CVSS 得分為 8.8。

“思科業務流程自動化 (BPA) 基于 Web 的管理界面中的多個漏洞可能允許經過身份驗證的遠程攻擊者將權限提升為管理員。” 閱讀公司發布的公告。“這些漏洞是由于對特定功能的授權執行不當以及對包含機密信息的日志文件的訪問造成的。攻擊者可以通過將精心制作的 HTTP 消息提交到受影響的系統并以管理員的權限執行未經授權的操作，或者通過從日志中檢索敏感數據并使用它來冒充合法的特權用戶來利用這些漏洞。成功的利用可能允許攻擊者將權限提升為管理員。“

經過身份驗證的攻擊者可以利用 CVE-2021-1574 執行未經授權的命令，而 CVE-2021-1576 缺陷可以允許經過身份驗證的攻擊者訪問易受攻擊系統的日志子系統并訪問敏感數據。

該公司在 3.1 版及更高版本中修復了 Cisco BPA 中的這些漏洞。

思科表示沒有解決方法來緩解這些漏洞。

該公司還修復了思科網絡安全設備 (WSA) 的 Cisco AsyncOS 配置管理中的一個漏洞，編號為 CVE-2021-1359。該漏洞可能允許經過身份驗證的遠程攻擊者注入命令并獲得 root 權限。

“此漏洞是由于對用戶提供的 Web 界面 XML 輸入的驗證不足。攻擊者可以通過將包含腳本代碼的精心制作的 XML 配置文件上傳到易受攻擊的設備來利用此漏洞。成功的漏洞利用可能允許攻擊者在底層操作系統上執行任意命令并將特權提升到 root。” 閱讀咨詢。“攻擊者需要具有上傳配置文件權限的有效用戶帳戶才能利用此漏洞。”

該漏洞的 CVSS 得分為 6.3，它影響 WSA 設備的虛擬和硬件 AsyncOS，在這種情況下也沒有解決方法。適用于 WSA 版本 12.0.3-005 或 12.5.2 的 AsyncOS 解決了該漏洞。

思科產品安全事件響應小組 (PSIRT) 不知道任何利用上述漏洞的公開公告或攻擊。