O software Cisco AsyncOS, usado pelo Cisco Secure Email e Web Manager, Cisco Secure Email Gateway e Cisco Secure Web Appliance (WSA), tem várias falhas em sua interface de gerenciamento baseada na web, que pode levar a ataque XSS.
As falhas encontradas podem permitir que um invasor remoto inicie um ataque de script entre sites (XSS) contra um usuário da interface. XSS é um ataque que permite que hackers injetem javascript malicioso no aplicativo ou no código do site. Quando a entrada do usuário não é devidamente sanitizada antes de ser usada na saída gerada, uma página da Web ou aplicativo da Web torna-se vulnerável a ataques de script entre sites.
Falha de software Cisco AsyncOS
A Cisco disse que “as vulnerabilidades são independentes umas das outras, explorar uma das vulnerabilidades é desnecessário antes de tentar explorar outra”. Além disso, “uma versão de software que é vulnerável a uma das vulnerabilidades pode não ser vulnerável às outras”, acrescentou a Cisco.
Produtos Afetados
- CVE-2023-20119: Cisco Secure Email e Web Manager – XSS refletido;
- CVE-2023-20120: Cisco Secure Email and Web Manager, Cisco Secure Email Gateway e Cisco Secure Web Appliance – XSS armazenado;
- CVE-2023-2002: Cisco Secure Email and Web Manager e Cisco Secure Web Appliance – XSS armazenado;
- CVE-2023-20119: Cisco Secure Email e Web Manager – Um invasor remoto não autenticado pode executar um ataque XSS contra um usuário da interface de gerenciamento baseada na Web do software Cisco AsyncOS para Cisco Secure Email e Web Manager devido a uma vulnerabilidade. Validação insuficiente de entrada do usuário é a causa dessa vulnerabilidade. Um usuário de uma interface vulnerável pode ser levado a clicar em um link forjado por um invasor. Uma exploração bem-sucedida pode permitir que o invasor execute um código de script arbitrário no contexto da interface afetada ou acesse informações confidenciais baseadas no navegador.
Notícias Relacionadas
Audiolivros Spotify
Spotify expande catálogo de audiolivros com parceria estratégica
Spotify firmou parceria com a Bloomsbury Publishing para expandir seu catálogo de audiolivros. A nova coleção inclui 1.000 títulos de autores aclamados e narradores de destaque, fortalecendo o papel dos audiolivros na plataforma.
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
- CVE-2023-20120: Cisco Secure Email, Web Manager e Web Appliance – Essa vulnerabilidade pode permitir que um invasor remoto autenticado conduza um ataque XSS contra um usuário da interface. Também é uma validação de entrada do usuário insuficiente. Um invasor pode explorar essa vulnerabilidade persuadindo um usuário de uma interface afetada a clicar em um link criado. Se a exploração for eficaz, o invasor poderá acessar dados privados baseados em navegador ou executar código de script arbitrário no contexto da interface explorada.
- CVE-2023-20028: Cisco Secure Email, Web Manager e Web Appliance – Essa vulnerabilidade também pode permitir que um invasor remoto autenticado conduza um ataque XSS contra um usuário da interface devido à validação insuficiente da entrada do usuário. Uma exploração bem-sucedida pode permitir que o invasor execute um código de script arbitrário no contexto da interface afetada ou acesse informações confidenciais baseadas no navegador.
Atualizações e soluções alternativas e patches
A Cisco disse que não há soluções alternativas disponíveis para lidar com essas vulnerabilidades, e os usuários são recomendados a considerar atualizações de software. De acordo com a PSIRT, não há exploração ativa da vulnerabilidade registrada.
A Cisco lançou patches para corrigir a vulnerabilidade.
