요약
- 취약점 :
Cisco Vision Dynamic Signage Director의 REST API 인터페이스의 취약점으로 인해 비인가 원격 공격자가 취약 시스템의 인증을 우회할 수 있음.
공격자는 특수하게 가공된 HTTP 요청을 취약 시스템에 전송하여, 공격 성공 시 REST API를 통해 관리자 권한으로 임의의 행위(action)을 할 수 있음.
* REST API 의 기본적으로 사용가능(enabled)로 설정 되어 있으며, 사용불가능으로 설정 변경이 불가능함.
- 취약원인 : HTTP 요청에 대한 미흡한 검증
- 영향 받는 제품 :
Cisco Vision Dynamic Signage Director 6.1
Cisco Vision Dynamic Signage Director 6.0
Cisco Vision Dynamic Signage Director 5.0
Cisco Vision Dynamic Signage Director 5.0 이하 버전
- 공식 대응법 : 취약한 버전에 대한 패치
Cisco Vision Dynamic Signage Director 6.1 → 6.1 sp3
Cisco Vision Dynamic Signage Director 6.0 → 6.1 sp3로 마이그레이션
Cisco Vision Dynamic Signage Director 5.0 → 5.0 sp9
Cisco Vision Dynamic Signage Director 5.0 이하 버전 → 5.0.sp9로 마이그레이션
- 임시 대응법 : 현재 없음
관련 CVE정보
- CVE-2019-1917
- CVSS 3.0 Base Score: 9.1
- PoC : 현재 없음 (2019.07.18 14:30)
참고자료
출처 : https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190717-cvdsd-wmauth