Le logiciel d'infrastructure de virtualisation des fonctions réseau d'entreprise (NFVIS) de Cisco est affecté par une vulnérabilité critique qui pourrait être exploitée par un attaquant pour prendre le contrôle total d'un système affecté, avec un code d'exploitation de type "proof-of-concept" (PoC) disponible publiquement.

Référencée en CVE-2021-34746, et ayant un score CVSS de 9.8, la faille est causée par une validation incomplète des données fournies par l'utilisateur qui sont transmises à un script d'authentification pendant le processus de connexion, permettant à un attaquant d'injecter des paramètres dans une demande d'authentification. "Une exploitation réussie pourrait permettre à l'attaquant de contourner l'authentification et de se connecter en tant qu'administrateur à l'appareil affecté", a déclaré la société dans son avis de sécurité.

Cisco a ajouté ne pas avoir détecté de tentatives d'armement réussies dans la nature.

Il convient de souligner que les déploiements NFVIS d'entreprise ne sont impactés par cette vulnérabilité que si la méthode d'authentification externe TACACS est configurée sur un appareil ciblé, ce qui peut être déterminé en exécutant la commande "show running-config tacacs-server". "Si la sortie de la commande show running-config tacacs-server est No entries found, la fonction d'authentification externe TACACS n'est pas activée", note la société.

Cisco a corrigé cette vulnérabilité dans les versions 4.6.1 et ultérieures de Cisco Enterprise NFVIS. De ce fait, les utilisateurs du logiciel sont invités à appliquer les correctifs dès que possible.