Cisco IOS XE 软件 Web UI 特权提升 (cisco-sa-iosxe-webui-privesc-j22SaA4z)
critical Nessus 插件 ID 183167
语言：
简介
远程设备缺少供应商提供的安全补丁。描述
Cisco IOS XE 软件的 Web UI 功能中存在漏洞，当暴露于互联网或不受信任的网络时，此漏洞可能允许未经身份验证的远程攻击者在受影响的系统上以特权级别 15 访问权限创建帐户。然后，攻击者可以使用该帐户来控制受影响的系统。有关关闭此漏洞攻击载体的步骤，请参阅供应商公告的“建议”部分。供应商 (Cisco) 将提供有关本次调查的状态以及软件补丁何时可用的最新信息。请参阅随附的 Cisco BID 和 Cisco 安全公告，了解更多信息。
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
参见供应商公告。另见
http://www.nessus.org/u?2eb79c65
插件详情
严重性: Critical
ID: 183167
文件名: cisco-sa-iosxe-webui-privesc-j22SaA4z.nasl
版本: 1.13
类型: combined
系列: CISCO
发布时间: 2023/10/16
最近更新时间: 2024/9/27
支持的传感器: Nessus
风险信息
VPR
风险因素: Critical
分数: 9.2
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.3
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2023-20198
CVSS v3
风险因素: Critical
基本分数: 10
时间分数: 9.3
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
漏洞信息
CPE: cpe:/o:cisco:ios_xe
必需的 KB 项: Host/Cisco/IOS-XE/Version
可利用: true
易利用性: Exploits are available
漏洞发布日期: 2023/10/16
CISA 已知可遭利用的漏洞到期日期: 2023/10/20, 2023/10/27
可利用的方式
Core Impact
Metasploit (Cisco IOX XE Unauthenticated RCE Chain)
参考资料信息
CVE: CVE-2023-20198, CVE-2023-20273