Vulnerabilidad de evasión de autenticación en Cisco Identity Services Engine (ISE)

Fecha de publicación: 
03/08/2017
Importancia: 
4 - Alta
Recursos afectados: 
  • Cisco Identity Services Engine (ISE) con versiones 1.3, 1.4, 2.0.0, 2.0.1, o 2.1.0.  
  • La versión 2.2.x no esta afectada.
Descripción: 

Publicada una actualización que soluciona una vulnerabilidad en el módulo de autenticación de Cisco Identity Services Engine (ISE) que podría permitir a un atacante remoto no autenticado omitir la autenticación local.

Solución: 

Cisco ha publicado actualizaciones de software que solucionan esta vulnerabilidad. No hay soluciones provisionales para esta vulnerabilidad.

Detalle: 

La vulnerabilidad se debe al manejo incorrecto de solicitudes de autenticación y asignación de políticas para usuarios autenticados externamente. Un atacante podría explotar esta vulnerabilidad mediante la autenticación con una cuenta de usuario externa válida que coincida con un nombre de usuario interno, recibiendo incorrectamente la política de autorización de la cuenta interna. Un exploit podría permitir al atacante tener privilegios Super Administrador para el portal ISE Admin.

Esta vulnerabilidad no afecta a los puntos finales que se autentican en el ISE.