Cisco HyperFlex HX-Series Web-Based Management Interface Cross-Site Request Forgery Vulnerability

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• cisco hx220c af m5 firmware3.0(1a)
• cisco hx220c all nvme m5 firmware3.0(1a)
• cisco hx220c edge m5 firmware3.0(1a)
• cisco hx220c m5 firmware3.0(1a)
• cisco hx240c af m5 firmware3.0(1a)
• cisco hx240c large form factor firmware3.0(1a)
• cisco hx240c m5 firmware3.0(1a)
• cisco ucs b200 m5 firmware3.0(1a)
• cisco ucs b480 m5 firmware3.0(1a)
• cisco ucs c125 m5 firmware3.0(1a)
• cisco ucs c220 m5 firmware3.0(1a)
• cisco ucs c240 m5 firmware3.0(1a)
• cisco ucs c480 m5 firmware3.0(1a)
• cisco ucs c480 ml firmware3.0(1a)

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (cisco). Не зависят от анализа CPE в NVD и обычно опережают его.

• Cisco Cisco HyperFlex HX-Series

  • unspecified и новее · до 4.0(1a)затронута

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.