The System Configuration Protocol (SCP) core messaging interface in Cisco Prime Network Registrar 8.2 before 8.2.3.1 and 8.3 before 8.3.2 al

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• cisco prime network registrar8.2.0
• cisco prime network registrar8.2.0.1
• cisco prime network registrar8.2.0.2
• cisco prime network registrar8.2.1
• cisco prime network registrar8.2.1.1
• cisco prime network registrar8.2.2
• cisco prime network registrar8.2.2.1
• cisco prime network registrar8.2.3
• cisco prime network registrar8.3.0
• cisco prime network registrar8.3.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-1840Cisco Prime Network Registrar Denial of Service Vulnerability
  31Наблюдать
• CVE-2020-3272Cisco Prime Network Registrar DHCP Denial of Service Vulnerability
  30Наблюдать
• CVE-2020-3148Cisco Prime Network Registrar Cross-Site Request Forgery Vulnerability
  28Наблюдать
• CVE-2015-6296Cisco Prime Network Registrar (CPNR) 8.1(3.3), 8.2(3), and 8.3(2) has a default account, which allows local users to obtain root access by l
  28Наблюдать
• CVE-2017-6613A vulnerability in the DNS input packet processor for Cisco Prime Network Registrar could allow an unauthenticated, remote attacker to cause
  24Наблюдать
• CVE-2013-3394Cross-site scripting (XSS) vulnerability in the web interface in Cisco Prime Network Registrar 8.1 and earlier allows remote attackers to in
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.