Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans Cisco IOS XE

Gestion du document

Référence	CERTFR-2023-AVI-0878
Titre	Multiples vulnérabilités dans Cisco IOS XE
Date de la première version	23 octobre 2023
Date de la dernière version	03 novembre 2023
Source(s)	Bulletin de sécurité Cisco cisco-sa-iosxe-webui-privesc-j22SaA4z du 16 octobre 2023

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Exécution de code arbitraire
Élévation de privilèges

Systèmes affectés

IOS XE sur Catalyst 3650 et 3850 versions 16.12.x antérieures à 16.12.10a
IOS XE versions 17.3.x antérieures à 17.3.8a
IOS XE versions 17.6.x antérieures à 17.6.6a
IOS XE versions 17.9.x antérieures à 17.9.4a

Résumé

De multiples vulnérabilités ont été découvertes dans Cisco IOS XE. Elles permettent à un attaquant de provoquer une exécution de code arbitraire, un contournement de la politique de sécurité et une élévation de privilèges.

Ces vulnérabilités sont activement exploitées.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Cisco cisco-sa-iosxe-webui-privesc-j22SaA4z du 16 octobre 2023
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
Référence CVE CVE-2023-20198
https://www.cve.org/CVERecord?id=CVE-2023-20198
Référence CVE CVE-2023-20273
https://www.cve.org/CVERecord?id=CVE-2023-20273

Gestion détaillée du document

Date	Description
23 octobre 2023	Version initiale
30 octobre 2023	Les versions 17.6.6a et 16.12.10a sont disponibles.
03 novembre 2023	La version 17.3.8a est disponible.