Vulnerabilidad en la interfaz de usuario web de Cisco IOS XE (CVE-2017-12230)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-264 Permisos, privilegios y/o control de acceso

Fecha de publicación:

29/09/2017

Última modificación:

20/04/2025

Descripción

Una vulnerabilidad en la interfaz de usuario web de Cisco IOS XE 16.2 podría permitir que un atacante remoto autenticado eleve sus privilegios en un dispositivo afectado. Esta vulnerabilidad se debe a que la configuración por defecto de los permisos es incorrecta para los nuevos usuarios que se crean mediante la interfaz de usuario web del software afectado. Un atacante podría explotar esta vulnerabilidad mediante el uso de la interfaz de usuario web del software afectado para crear un nuevo usuario y luego iniciar sesión en la interfaz de usuario web como ese nuevo usuario. Un exploit exitoso podría permitir que el atacante eleve sus privilegios en el dispositivo afectado. Esta vulnerabilidad afecta a los dispositivos de Cisco que ejecuten una distribución vulnerable del software de Cisco IOS XE, si la característica HTTP Server está habilitada para el dispositivo. El nuevo diseño de la interfaz de usuario de administración web se introdujo en la distribución 16.2 de Denali del software de Cisco IOS XE. Esta vulnerabilidad no afecta a las interfaces de usuario de administración web en distribuciones anteriores del software de Cisco IOS XE. Cisco Bug IDs: CSCuy83062.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:S/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 9.00 ALTA
Vector: AV:N/AC:L/Au:S/C:C/I:C/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo