Компания Cisco Systems выпустила информационный бюллетень, посвященный критической уязвимости в Cisco Prime License Manager (PLM), которая позволяет удаленно и без аутентификации исполнять произвольные SQL-запросы. В случае успешного эксплойта злоумышленник сможет изменить или удалить любые данные в веб-приложении, использующем уязвимый продукт.

Брешь CVE-2018-15441 обнаружил исследователь Сухаил Аласкар (Suhail Alaskar) из компании Saudi Information Technology. Степень ее опасности оценена в 9,8 балла по 10-балльной шкале CVSS. Соответствующий патч уже выпущен, альтернативных мер защиты Cisco не предлагает.

«Уязвимость возникла из-за неадекватной валидации данных, предоставляемых пользователем в SQL-запросах, — сказано в бюллетене. — Злоумышленник может воспользоваться ею, направив приложению запрос HTTP POST, содержащий вредоносный оператор SQL. В случае успеха автор атаки сможет модифицировать или удалить любую информацию в базе данных PLM или получить шелл-доступ с привилегиями пользователя Postgres (СУБД PostgreSQL)».

Проблема присутствует в Cisco Prime License Manager выпусков 11.0.1 и выше и также затрагивает приложения Cisco Unified Communications Manager и Cisco Unity Connection, в пакет которых входит PLM. Данных об использовании бреши в реальных атаках у разработчика нет.

Патч ciscocm.CSCvk30822_v1.0.k3.cop.sgn доступен в Центре загрузок программных продуктов Cisco. Его придется устанавливать вручную.

Категории: Уязвимости