Laura Rowieska

Nome do Software Vulnerável e Versões Afetadas: Cisco Identity Services Engine (ISE) (versões afetadas não especificadas) Descrição: Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco Identity Services Engine (ISE) poderia permitir que um atacante remoto autenticado realizasse ataques de cross-site scripting (XSS) contra um usuário da interface. Esta vulnerabilidade deve-se à validação insuficiente de entrada fornecida pelo usuário pela interface de gerenciamento baseada na web de um sistema afetado. Um atacante poderia explorar esta vulnerabilidade injetando código malicioso em páginas específicas da interface. Uma exploração bem-sucedida poderia permitir ao atacante executar código de script arbitrário no contexto da interface afetada ou acessar informações sensíveis baseadas no navegador. Para explorar esta vulnerabilidade, o atacante deve possuir credenciais administrativas válidas. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Name of the Vulnerable Software and Affected Versions: Cisco Identity Services Engine (ISE) (affected versions not specified) Description: A vulnerability in the web-based management interface of Cisco Identity Services Engine (ISE) could allow an authenticated, remote attacker to conduct cross-site scripting (XSS) attacks against a user of the interface. This vulnerability is due to insufficient validation of user-supplied input by the web-based management interface of an affected system. An attacker could exploit this vulnerability by injecting malicious code into specific pages of the interface. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information. To exploit this vulnerability, the attacker must have valid administrative credentials. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco ISE poderia permitir que um invasor remoto autenticado realizasse um ataque XSS contra um usuário da interface. Esse problema se deve à validação insuficiente das entradas fornecidas pelo usuário pela interface de gerenciamento baseada na web de um sistema afetado. Um invasor poderia explorar essa vulnerabilidade injetando código malicioso em páginas específicas da interface. Uma exploração bem-sucedida poderia permitir que o invasor executasse código de script arbitrário no contexto da interface afetada ou acessasse informações confidenciais baseadas no navegador. Para explorar essa vulnerabilidade, o invasor deve ter privilégios de administrador em um dispositivo afetado.

A vulnerabilidade existe devido à validação insuficiente das entradas fornecidas pelo usuário pela interface de gerenciamento baseada na web de um sistema afetado. Um invasor poderia explorar essa vulnerabilidade injetando código malicioso em páginas específicas da interface. Uma exploração bem-sucedida poderia permitir que o invasor executasse código de script arbitrário no contexto da interface afetada ou acessasse informações confidenciais baseadas no navegador. Para explorar essa vulnerabilidade, o invasor deve ter, no mínimo, uma conta com privilégios baixos em um dispositivo afetado.

Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco Identity Services Engine (ISE) poderia permitir que um invasor remoto não autenticado realizasse um ataque de falsificação de solicitação entre sites (CSRF) e executasse ações arbitrárias em um dispositivo afetado. Este problema se deve a proteções CSRF insuficientes na interface de gerenciamento baseada na web de um dispositivo afetado. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário da interface a seguir um link malicioso. Uma exploração bem-sucedida poderia permitir que o invasor realizasse ações arbitrárias no dispositivo afetado com os privilégios do usuário visado.

A vulnerability in the web-based management interface of Cisco Identity Services Engine (ISE) could allow an authenticated, remote attacker to obtain sensitive information from an affected device. This issue is due to a lack of proper data protection mechanisms for certain configuration settings. An attacker with Read-Only Administrator privileges could exploit this vulnerability by browsing to a page that contains sensitive data, potentially allowing them to view device credentials that are normally not visible to Read-Only Administrators.