Accueil > Alertes du CERT-MC et du CERT-FR > Vulnérabilité dans Cisco IOS XE

Vulnérabilité dans Cisco IOS XE

Référence : CERT-FR-2023-ALE-011

Risque(s)

- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance

Systèmes affectés

- Cisco IOS XE si l'interface Web de gestion est accessible

Résumé

Le 16 octobre 2023, Cisco a publié un avis de sécurité concernant la vulnérabilité CVE-2023-20198 affectant l'interface Web de gestion d'IOS XE (webui).

Cette vulnérabilité permet à un attaquant non authentifié de créer un [utilisateur disposant des privilèges de niveau 15](https://learningnetwork.cisco.com/s/blogs/a0D3i000002eeWTEAY/cisco-ios-privilege-levels ).

Cela donne accès à toutes les commandes et la possibilité de modifier la configuration de l'équipement vulnérable, ce qui revient à en prendre le contrôle complet. Le score CVSSv3 de cette vulnérabilité est de 10 (sur 10).

Cisco n'a pas encore publié de correctifs de sécurité pour la vulnérabilité CVE-2023-20198. De plus, l'éditeur indique que cette vulnérabilité est activement exploitée.

L'avis de l'éditeur documente les indicateurs de compromission permettant de rechercher des éventuelles exploitations de cette vulnérabilité.

Contournement provisoire

Dans l'attente des correctifs de sécurité, Cisco recommande de vérifier les configurations des différents équipements et de désactiver complétement l'interface webui (en HTTP et HTTPS) si celle-ci est activée.

Le CERT-FR rappelle que les interfaces de gestion ne doivent être accessibles que depuis un réseau d'administration sécurisé. Se référer aux recommandations de l'ANSSI relatives à l'administration sécurisée des systèmes d'information (cf. section Documentation)

Documentation

- Bulletin de sécurité Cisco cisco-sa-iosxe-webui-privesc-j22SaA4z du 16 octobre 2023
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
- Recommandations de l'ANSSI relatives à l'administration sécurisée des systèmes d'information
https://www.ssi.gouv.fr/uploads/2018/04/anssi-guide-admin_securisee_si_v3-0.pdf
- Référence CVE CVE-2023-20198
https://www.cve.org/CVERecord?id=CVE-2023-20198

Dernière version de ce document:

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-011/

CERTFR-2024-ALE-005_Vulnerabilite dans Microsoft Outlook

15 février 2024
actualite

Objet : Vulnérabilité dans Microsoft OutlookRéférence : CERTFR-2024-ALE-005Risque(s) - Exécution de code arbitraire à distance- Atteinte à la confi... Lire la suite[+]

CERTFR-2024-ALE-004_Vulnerabilite dans Fortinet FortiOS

09 février 2024
actualite

Objet : Vulnérabilité dans Fortinet FortiOSRéférence : CERTFR-2024-ALE-004Risque(s)- Exécution de code arbitraire à distanceSystèmes affectés - For... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93


Bouton Alertes CSIRT-MC


       INFORMATIONS            PRATIQUES
Demande d'autorisation loi n°1.383
Conseils élémentaires
//amsn.gouv.mc/Alertes-du-CERT-MC-et-du-CERT-FR/Vulnerabilite-dans-Cisco-IOS-XE