Компания Cisco исправила уязвимость в программном обеспечении Cisco Firepower Device Manager (FDM) On-Box, предназначенном для локальной настройки межсетевых NGFW-экранов Cisco Firepower.
Уязвимость CVE-2021-1518, получившую оценку 6,3 баллов по шкале CVSS 3.1, обнаружили эксперты компании Positive Technologies Никита Абрамов и Михаил Ключников. Проблема была найдена в REST API встроенного программного обеспечения Cisco FDM On-Box. Ошибка могла позволить удаленному злоумышленнику, прошедшему проверку подлинности, выполнить произвольный код в операционной системе пораженного устройства.
«Для того чтобы воспользоваться этой уязвимостью, злоумышленнику достаточно было иметь учетные данные пользователя с низкими привилегиями и отправить специально сформированный HTTP-запрос, — рассказали эксперты Positive Technologies, обнаружившие баг. — С технической точки зрения уязвимость вызвана недостаточной проверкой пользовательского ввода для определенных команд REST API».
Уязвимости подвержены Cisco FDM On-Box версий 6.3.0, 6.4.0, 6.5.0, 6.6.0 и 6.7.0. И компания Cisco уже выпустила обновления программного обеспечения, устраняющие эту уязвимость (версии 6.4.0.12, 6.4.4 и 6.7.0.2).
