Cisco ACI MSO API身份驗證繞過漏洞（CVE-2021-1388）
發布時間 2021-02-250x00 漏洞概述
CVE ID | CVE-2021-1388 | 時 間 | 2021-02-25 |
類 型 | 身份驗證繞過 | 等 級 | 嚴重 |
遠程利用 | 是 | 影響范圍 | Cisco ACI MSO 3.0 |
0x01 漏洞詳情
Cisco Multi-Site Orchestrator（MSO）可通過運營商可以實現混合云方案，在DCNM、ACI、云和跨域的邊緣范圍內定義和協調網絡策略。
2021年02月24日，Cisco發布安全公告，修復了Cisco ACI MSO API接口上的一個嚴重的身份驗證繞過漏洞（CVE-2021-1388），該漏洞的CVSS評分為10.0。
該漏洞是特定API接口上的token驗證不正確造成的。攻擊者可以通過向受影響的API發送惡意請求來利用此漏洞。成功利用此漏洞的攻擊者能夠獲得具有管理員權限的token，最終繞過受影響設備上的身份驗證。
該漏洞僅影響Cisco ACI MSO 3.0版本（Cisco ACI MSO 3.0(1i)版本不受影響），并且僅在部署于Cisco Application Services Engine統一應用托管平臺上時才受影響。
此外，Cisco還修復了Cisco Application Services Engine（Cisoc應用服務引擎）中的一個嚴重的未授權訪問漏洞（CVE-2021-1393）和Cisco NX-OS中的一個任意文件操作漏洞（CVE-2021-1361），這2個漏洞的CVSS評分均為9.8。攻擊者可以通過利用這些漏洞未授權訪問設備、更改配置、創建、刪除或以root權限覆蓋任意文件。
0x02 處置建議
目前該漏洞已被修復，建議及時升級到Cisco ACI MSO 3.0（3m）版本。
下載鏈接：
https://software.cisco.com/download/home
0x03 參考鏈接
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir#~Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-mso-authbyp-bb5GmBQv?
https://www.bleepingcomputer.com/news/security/cisco-fixes-maximum-severity-mso-auth-bypass-vulnerability/
0x04 時間線
2021-02-24 Cisco發布安全公告
2021-02-25 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號