Cisco Identity Services Engine跨站脚本漏洞

CVE编号

CVE-2020-3149

利用情况

暂无

补丁情况

N/A

披露时间

2020-02-06
漏洞描述
Cisco Identity Services Engine（ISE）是美国思科（Cisco）公司的一款基于身份的环境感知平台（ISE身份服务引擎）。该平台通过收集网络、用户和设备中的实时信息，制定并实施相应策略来监管网络。 Cisco ISE Software Release 2.7.0之前版本中的Web管理界面存在跨站脚本漏洞，该漏洞源于该界面没有充分进行输入验证。远程攻击者可通过发送恶意的数据利用该漏洞在受影响界面的上下文中执行脚本代码或访问基于浏览器的敏感信息。

解决建议
厂商已发布了漏洞修复程序，请及时关注更新：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-xss-DxJsRWRx
参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 cisco identity_services_engine * Up to
(excluding)
2.7
CVSS3评分
4.8
  • 攻击路径
    网络
  • 攻击复杂度
    低
  • 权限要求
    高
  • 影响范围
    已更改
  • 用户交互
    需要
  • 可用性
    无
  • 保密性
    低
  • 完整性
    低
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
CWE-ID 漏洞类型
CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）
阿里云安全产品覆盖情况