Брешь в Cisco Identity Services Engine позволяет просмотреть кастомные страницы

Специалисты компании Cisco сообщили об уязвимости (CVE-2015-6266) в своем административном портале Identity Services Engine (ISE). По словам экспертов, брешь связана с некорректной обработкой HTML-запросов. Ее эксплуатация позволяет атакующему просмотреть кастомные страницы, созданные системным администратором. Опасность заключается в том, что эти страницы могут содержать важную информацию по вопросам обеспечения безопасности сети, которая находится под управлением ISE.

Cisco Identity Services Engine - платформа для управления процессами идентификации контроля доступа, которая позволяет организациям обеспечить соблюдение нормативных требований и упростить управление работой сетевых сервисов.

«Уязвимость существует из-за отсутствия контроля доступа для загружаемых HTML-файлов. Атакующий может проэксплуатировать брешь путем создания HTTP-запроса с указанием на имя файла кастомизированной страницы», - сообщается в бюллетене безопасности производителя.

Исследователи Cisco отмечают, что видели эксплоит для данной уязвимости, но в настоящее время им не известны случаи активной ее эксплуатации. На данный момент разработчик еще не выпустил корректирующее обновление для платформы. Пока специалисты рекомендуют администраторам не размещать важную информацию на кастомных страницах и разрешить к ним доступ только доверенным пользователям.