Plusieurs vulnérabilités ont été découvertes dans Cisco Intersight Virtual Appliance. Elles permettent à un attaquant de contourner la politique de sécurité provoquant par là une violation des données. Un attaquant non authentifié peut également accéder à des services internes sensibles à partir d'une interface externe.

Les 4 vulnérabilités citées avec une criticité moyenne sont listées ci-dessous :

· CVE-2021-1600 : risque d’un Contrôle d'accès inapproprié.

· CVE-2021-1601 : risque d’un Contrôle d'accès inapproprié.

· CVE-2021-1617 : risque d’une Limitation inappropriée d'un nom de chemin à un répertoire restreint (Path Traversal).

· CVE-2021-1618 : risque d’une Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande OS (injection de commande OS).

Ces vulnérabilités sont dues à des restrictions insuffisantes pour les paquets IPv4 ou IPv6 reçus sur l'interface de gestion externe. Un attaquant pourrait exploiter ces vulnérabilités en envoyant du trafic spécifique à cette interface vers un périphérique affecté. Une exploitation réussie pourrait permettre à l'attaquant d'accéder à des services internes sensibles et d'effectuer des modifications de configuration sur le périphérique affecté.

Cisco a publié des mises à jour logicielles le 22 juillet qui corrigent ces vulnérabilités. Pour éviter tout risque, il est recommandé de les installer depuis le site officiel de Cisco.