思科Elastic Services Controller REST API身份验证绕过缝隙

颁布功夫 2019-05-09


OG东方厅·(中国大陆)


1.布景描述


5月7日思科颁布布告修复Elastic Services Controller（ESC）中的身份验证绕过缝隙（CVE-2019-1867） 。该缝隙可允许未经身份验证的远程攻击者绕过REST API中的身份验证 。


2.影响领域


CVE ID  ：：   CVE-2019-1867    
缝隙等级：：   严重
影响领域：：   Elastic Services Controller  4.1、、、4.2、、、4.3、、、4.4 

CVSS评分：：   10.0


3.缝隙详情


该缝隙是由于REST API要求的不正确验证造成的 。攻击者可通过向REST API发送恶意要求来利用此缝隙 。成功利用可允许攻击者通过REST API执行肆意操作， ，，并获得治理权限 。


由于ESC默认未启用REST API， ，，治理员可通过运行号令sudo netstat -tlnup | grep '8443|8080'查看当前是否启用了REST API 。以下示例为在端口8443上启用了REST API服务的输出了局：：

OG东方厅·(中国大陆)

4.修复建议


此缝隙已在Cisco Elastic Services Controller版本4.5中修复 。其它补丁可用的版本见下表：：

OG东方厅·(中国大陆)

5.参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190507-esc-authbypass