Cisco Data Center Network Manager 12.1.2e/12.1.2p/12.1.3b Web-based Management Interface/REST API Endpoint SQL Injection

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Cisco Data Center Network Manager 12.1.2e/12.1.2p/12.1.3b entdeckt. Es betrifft eine unbekannte Funktion der Komponente Web-based Management Interface/REST API Endpoint. Mittels Manipulieren mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2024-20536 gelistet. Der Angriff kann remote ausgeführt werden. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine Schwachstelle wurde in Cisco Data Center Network Manager 12.1.2e/12.1.2p/12.1.3b ausgemacht. Sie wurde als kritisch eingestuft. Dies betrifft eine unbekannte Verarbeitung der Komponente Web-based Management Interface/REST API Endpoint. Durch Beeinflussen mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-89. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

A vulnerability in a REST API endpoint and web-based management interface of Cisco Nexus Dashboard Fabric Controller (NDFC) could allow an authenticated, remote attacker with read-only privileges to execute arbitrary SQL commands on an affected device. This vulnerability is due to insufficient validation of user-supplied input. An attacker could exploit this vulnerability by sending a crafted request to a specific REST API endpoint or web-based management interface. A successful exploit could allow the attacker to read, modify, or delete arbitrary data on an internal database, which could affect the availability of the device. 

Bereitgestellt wird das Advisory unter sec.cloudapps.cisco.com. Die Verwundbarkeit wird seit dem 08.11.2023 mit der eindeutigen Identifikation CVE-2024-20536 gehandelt. Die Ausnutzbarkeit gilt als leicht. Umgesetzt werden kann der Angriff über das Netzwerk. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $0-$5k kosten (Preisberechnung vom 07.08.2025). Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1505 aus.

Ein Aktualisieren vermag dieses Problem zu lösen.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Typ

• Network Management Software

Hersteller

• Cisco

Name

• Data Center Network Manager

Version

• 12.1.2e
• 12.1.2p
• 12.1.3b

Lizenz

• Kommerziell

Webseite

• Hersteller: https://www.cisco.com/

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion