cisco identity_services_engine 密码学签名的验证不恰当

CVE编号

CVE-2019-1736

利用情况

暂无

补丁情况

N/A

披露时间

2020-09-23
漏洞描述
Cisco UCS C-Series是美国思科（Cisco）公司的一款C系列机架式服务器。

Cisco UCS C-Series Rack Servers中的固件存在数据伪造漏洞，该漏洞源于程序无法正确验证服务器固件更新镜像。攻击者可利用该漏洞利用该漏洞绕过签名验证检查并加载未被Cisco签名的软件镜像。
解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-ucs-boot-bypass
参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 cisco identity_services_engine 2.4(0.357) -
运行在以下环境
应用 cisco identity_services_engine 2.6(0.156) -
运行在以下环境
应用 cisco unified_computing_system 3.2(3h)c -
CVSS3评分
6.6
  • 攻击路径
    物理
  • 攻击复杂度
    低
  • 权限要求
    低
  • 影响范围
    未更改
  • 用户交互
    无
  • 可用性
    高
  • 保密性
    高
  • 完整性
    高
CVSS:3.1/AV:P/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-ID 漏洞类型
CWE-347 密码学签名的验证不恰当
阿里云安全产品覆盖情况