Vulnérabilités critiques dans plusieurs produits Cisco

CVE-2021-1472 [Score CVSS v3 : 9.8] : Une vulnérabilité dans l'interface de gestion Web des routeurs de la série Cisco Small Business RV340 a été corrigée. Cette faille est due à une validation insuffisante des entrées utilisateur. Son exploitation peut permettre à un attaquant distant et non authentifié d'exécuter des commandes arbitraires sur un appareil affecté.

CVE-2021-1473 [Score CVSS v3 : 9.8] : Une vulnérabilité dans l'interface de gestion Web des routeurs Cisco Small Business RV Series a été corrigée. Cette faille est due à une mauvaise gestion des sessions sur les appareils concernés. Son exploitation peut permettre à un attaquant distant et non authentifié de contourner l'authentification et de télécharger des fichiers dans des répertoires qui devraient nécessiter une authentification administrative.

CVE-2021-1251 [Score CVSS v3 : 7.4] : Une vulnérabilité dans l'implémentation de LLDP pour les routeurs Cisco Small Business RV Serie a été corrigée. Cette faille est due à une validation de longueur manquante de certains champs d'en-tête de paquet LLDP. Son exploitation peut permettre à un attaquant adjacent et non authentifié de provoquer une fuite de mémoire ainsi qu’un déni de service.

CVE-2021-1308 [Score CVSS v3 : 7.4] : Une vulnérabilité dans l'implémentation de LLDP pour les routeurs Cisco Small Business RV Series a été corrigée. Cette faille est due à une validation de longueur manquante de certains champs d'en-tête de paquets LLDP. Son exploitation peut permettre à un attaquant adjacent et non authentifié de provoquer le rechargement inattendu d'un routeur affecté.

CVE-2021-1309 [Score CVSS v3 : 8.8] : Une vulnérabilité dans l'implémentation de LLDP pour les routeurs Cisco Small Business RV Series a été corrigée. Cette faille est due à une validation de longueur manquante de certains champs d'en-tête de paquets LLDP. Son exploitation peut permettre à un attaquant adjacent et non authentifié d'exécuter un code arbitraire sur un appareil affecté ou de provoquer le rechargement de l'appareil.

CVE-2021-1362 [Score CVSS v3 : 8.8] : Une vulnérabilité dans le point de terminaison de l'API SOAP des logiciels Cisco Unified Communications Manager, Cisco Unified Communications Manager Session Management Edition, Cisco Unified Communications Manager IM & Presence Service, Cisco Unity Connection et Cisco Prime License Manager a été corrigée. Cette faille est due à une mauvaise vérification des données fournies par l'utilisateur.  Son exploitation peut permettre à un attaquant distant authentifié d'exécuter un code arbitraire sur un appareil affecté.

CVE-2021-1386 [Score CVSS v3 : 7.8] : Une vulnérabilité dans le mécanisme de chargement de la bibliothèque de liens dynamiques (DLL) dans Cisco Advanced Malware Protection (AMP) for Endpoints Windows Connector, ClamAV for Windows et Immunet  a été corrigée. Son exploitation peut permettre à un attaquant local authentifié d'effectuer une attaque de détournement de DLL sur un système Windows affecté et ainsi d'exécuter du code arbitraire avec les privilèges du SYSTÈME. La faille est due à une validation insuffisante des chemins de recherche de répertoire au moment de l'exécution.

CVE-2021-1137 [Score CVSS v3 : 7.8] : Une vulnérabilité dans la fonction de gestion des utilisateurs du logiciel Cisco SD-WAN a été corrigée. La faille est due à une validation insuffisante des entrées par le logiciel affecté. Son exploitation peut permettre à un attaquant local authentifié d'obtenir une élévation de privilèges sur le système d'exploitation sous-jacent.

CVE-2021-1479 [Score CVSS v3 : 9.8] : Une vulnérabilité dans un composant de gestion à distance du logiciel Cisco SD-WAN vManage a été corrigée. Cette faille est due à une mauvaise validation des données fournies par l'utilisateur au composant vulnérable. Son exploitation peut permettre à un attaquant distant non authentifié de provoquer une condition de dépassement de tampon.

CVE-2021-1480 [Score CVSS v3 : 7.8] : Une vulnérabilité dans les fonctions de transfert de fichiers système du logiciel Cisco SD-WAN a été corrigée. La faille est due à une validation incorrecte des entrées dans les fonctions de transfert de fichiers système. Son exploitation peut permettre à un attaquant local et authentifié d'obtenir une élévation de privilèges sur le système d'exploitation sous-jacent.

CVE-2021-1459 [Score CVSS v3 : 9.8] : Une vulnérabilité dans l'interface de gestion Web des routeurs Cisco Small Business RV110W, RV130, RV130W et RV215W a été corrigée.  Cette faille est due à une mauvaise validation des données fournies par l'utilisateur dans l'interface de gestion Web.Son exploitation peut permettre à un attaquant distant et non authentifié d'exécuter un code arbitraire sur un périphérique affecté.