SQL-Injection-Schwachstelle in Cisco Firepower Management Center Software

Eine Schwachstelle in der webbasierten Management-Schnittstelle der Network Monitoring Lösung Cisco Firepower Management Center (FMC) Software ermöglicht es einem authentifizierten, entfernten Angreifer, SQL-Injection-Angriffe auf ein betroffenes System durchzuführen. Diese Schwachstelle besteht aufgrund unzureichender Validierung der Benutzereingaben in der Management-Schnittstelle. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er sich bei der Anwendung authentifiziert und speziell gestaltete SQL-Abfragen an das betroffene System sendet. Ein erfolgreicher Angriff könnte dem Angreifer ermöglichen, beliebige Daten aus der Datenbank abzurufen, beliebige Befehle auf dem zugrunde liegenden Betriebssystem auszuführen und die Privilegien auf Root-Rechte zu erhöhen. Um diese Schwachstelle auszunutzen, benötigt ein Angreifer mindestens Lesezugriff.

Diese Schwachstelle betrifft Geräte, die eine anfällige Version der Cisco FMC Software ausführen, unabhängig von der Konfiguration des Geräts. Details zu betroffenen Software-Versionen finden sich im Abschnitt “Fixed Software” der Warnung. Nicht betroffen sind Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software. Es gibt keine Workarounds zur Behebung dieser Schwachstelle. Cisco hat kostenlose Software-Updates veröffentlicht, die die beschriebene Schwachstelle beheben. Kunden mit Serviceverträgen, die regelmäßige Software-Updates beinhalten, sollten diese Sicherheitskorrekturen über ihre üblichen Update-Kanäle beziehen. Weitere Informationen zu Lizenzen und Downloads finden Kunden auf der Cisco Support- und Download-Seite.

CVSS-Score: 8.8 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)