Cisco-UCS-Manager-2.2-1d-Remote-Command-Execution - خطأ سيسكو: CSCur90888

• عنوان الاستغلال : Cisco UCS Manager - 2.2(1d) - تنفيذ الأوامر عن بُعد

• الوصف : يسمح سكربت CGI غير محدد في Cisco FX-OS قبل الإصدار 1.1.2 على أجهزة Firepower 9000 وCisco Unified Computing System (UCS) Manager قبل الإصدار 2.2(4b)، والإصدار 2.2(5) قبل 2.2(5a)، والإصدار 3.0 قبل 3.0(2e) للمهاجمين عن بُعد بتنفيذ أوامر shell عشوائية عبر طلب HTTP مصمم خصيصًا، والمعروف أيضًا باسم معرّف الخطأ CSCur90888.

• التاريخ : 1/15/2021

• مؤلف الاستغلال : liquidsky (J.McPeters)

• البرمجيات المتأثرة : Cisco UCS Manager - 2.2(1d) -> [وفقًا للمورد (Cisco)، من المعروف أن هذا يؤثر على الإصدارات السابقة للإصدار 3.0(2e).]

• الصفحة الرئيسية للمورد : https://www.cisco.com/c/en/us/products/servers-unified-computing/ucs-manager/index.html

• الإصدار : 2.2(1d), 2.2(3c)A

• مرجع سيسكو : https://quickview.cloudapps.cisco.com/quickview/bug/CSCur90888

• تم الاختبار على : Cisco UCS Manager - 2.2(1d) (تم تشغيل الاستغلال باستخدام Debian 5.6.7-1kali1 (Kali 2020.1 x64))

• موقع المؤلف : https://github.com/fuzzlove/Cisco-UCS-Manager-2.2-1d-Remote-Command-Execution

• ملاحظات خاصة : يستخدم هذا التطبيق افتراضيًا بروتوكول TLS 1.0 القديم للاتصال، ولهذا السبب يوجد إصلاح سريع/ترقيع مؤقت إلى 1.0 في openssl باستخدام 'sed' (وهو ما يعيد التغييرات بعد الاستغلال).

• تحيات: wetw0rk, Fr13ndz, O.G.Xx25, MS, SS, JK, عائلة S3, وأخيرًا وليس آخرًا droppunx ^_~