Cisco Expressway 系列 XSRF (cisco-sa-expressway-csrf-KnnZDMj3)

high Nessus Plugin ID 190353

語系：

概要

遠端裝置缺少廠商提供的安全性修補程式。

說明

根據其自我報告的版本，Cisco Expressway 系列受到多個弱點影響。

- Cisco Expressway 系列和 Cisco TelePresence Video Communication Server (VCS) 中存在一個弱點，未經驗證的遠端攻擊者可藉此發動跨網站要求偽造 (CSRF) 攻擊，進而在受影響裝置上執行任意動作。注意：Cisco Expressway 系列是指 Cisco Expressway Control (Expressway-C) 裝置和 Cisco Expressway Edge (Expressway-E) 裝置。如需有關這些弱點的詳細資訊，請參閱此公告的「詳細資料」[#details] 一節。
(CVE-2024-20252、CVE-2024-20254)

- Cisco Expressway 系列和 Cisco TelePresence Video Communication Server 的 SOAP API 中存在一個弱點，未經驗證的遠端攻擊者可藉此在受影響的系統上發動跨網站要求偽造 (CSRF) 攻擊。造成此弱點的原因在於，未對受影響系統的 Web 型管理介面進行充分的 CSRF 保護。攻擊者可透過誘騙 REST API 使用者使用特製的連結來利用此弱點。若攻擊成功，攻擊者可造成受影響的系統重新載入。(CVE-2024-20255)

如需詳細資訊，請參閱隨附的 Cisco BID 和 Cisco 安全公告。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。