Vulnerabilità: CVE-2020-3284

Una vulnerabilità nel migliorata Preboot eXecution Environment (PXE) boot loader per Cisco IOS XR 64 bit software potrebbe consentire un autenticato, attaccante remoto di eseguire codice non firmato durante il processo di avvio PXE su un dispositivo interessato. Il boot loader PXE è parte del BIOS e corre sopra l’interfaccia di gestione di piattaforme hardware che eseguono solo Cisco IOS XR Software. La vulnerabilità esiste perché comandi interni che vengono emessi quando il processo di avvio di rete PXE sta caricando un’immagine software non sono adeguatamente verificati. Un utente malintenzionato potrebbe sfruttare questa vulnerabilità compromettere il server di avvio PXE e la sostituzione di un’immagine software valida con uno dannoso. In alternativa, l’utente malintenzionato potrebbe impersonare il server di avvio PXE e inviare una risposta avvio PXE con un file dannoso. Un successo exploit potrebbe consentire l’utente malintenzionato di eseguire codice non firmato sul dispositivo interessato. Nota: Per risolvere questa vulnerabilità, sia l’IOS XR software Cisco e il BIOS devono essere aggiornati. Il codice del BIOS è incluso in Cisco IOS XR Software ma potrebbe richiedere passaggi di installazione aggiuntivi. Per ulteriori informazioni, vedere la sezione Software fisso di questo advisory.


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-pxe-unsign-code-exec-qAa78fD2
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-3284


E' possibile lasciare un commento come utenti registrati al sito, accedendo tramite social, account wordpress oppure come utenti anonimi. Nel caso in cui si desideri lasciare un commento come utenti anonimi si verrà avvisati via email di un'eventuale risposta solo se si inserisce l'indirizzo email (facoltativo). L'inserimento di qualsiasi dato nei campi dei commenti è totalmente facoltativo. Chiunque decida di inserire un qualsiasi dato accetta il trattamento di questi ultimi per i fini inerenti al servizio ovvero la risposta al commento e le comunicazioni strettamente necessarie.


Rispondi