S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 14 avril 2022
N° CERTFR-2022-AVI-338
Affaire suivie par: CERT-FR
le 14 avril 2022

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Cisco

Gestion du document

Référence CERTFR-2022-AVI-338
Titre Multiples vulnérabilités dans les produits Cisco
Date de la première version 14 avril 2022
Date de la dernière version 14 avril 2022
Source(s) Bulletin de sécurité Cisco cisco-sa-wlc-auth-bypass-JRNhV4fF du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-sdwan-privesc-vman-tEJFpBSL du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-sd-wan-file-access-VW36d28P du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-ncossh-dos-ZAkfOdq8 du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-lsplus-Z6AQEOjk du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-http-dos-svOdkdBS du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-ewlc-priv-esc-ybvHKO5 du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-cgr1k-ap-dos-mSZR4QVh du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-cdb-cmicr-vulns-KJjFtNb du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-c9800-snmp-trap-dos-mjent3Ey du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-c9800-fnf-dos-bOL5vLge du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-c9800-capwap-mdns-6PSn7gKU du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-appnav-xe-dos-j5MXTR4 du 13 avril 2022
Bulletin de sécurité Cisco cisco-sa-ap-ip-flood-dos-6hxxENVQ du 13 avril 2022
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque(s)

  • Exécution de code arbitraire
  • Déni de service à distance
  • Contournement de la politique de sécurité
  • Atteinte à la confidentialité des données
  • Élévation de privilèges

Systèmes affectés

  • Cisco Wireless LAN Controller versions 8.10.151.0 et suivantes antérieures à 8.10.171.0
  • Cisco SD-WAN versions 20.6.x antérieures à 20.6.1
  • Cisco SD-WAN versions 20.7.x antérieures à 20.7.1
  • Cisco IOS XE versions antérieures à 17.3.1
  • Cisco IOS XR versions 7.3.x antérieures à 7.3.2
  • Cisco IOS XR versions 7.1.2 sans le SMU asr9k-x64-7.1.2.CSCvy48962 ou le service pack asr9k-px-7.1.2.k9-sp1.tar
  • Cisco IOS XR versions 7.1.3 sans le SMU asr9k-x64-7.1.3.CSCvz75757
  • Cisco IOS XR versions 7.3.x antérieures à 7.3.2
  • Cisco IOS avec une configuration HTTP Server spécifique décrite dans l'avis de sécurité de l'éditeur
  • Cisco IOS XE entre les séries de versions 3SE et 3E
  • Cisco gamme de commutateurs Catalyst 9300
  • Cisco gamme de commutateurs Catalyst 9400
  • Cisco gamme de commutateurs Catalyst 9500
  • Cisco Catalyst 9800 Embedded Wireless Controllers pour la gamme de commutateurs Catalyst 9300, 9400 et 9500
  • Cisco Catalyst 9800 Series Wireless Controllers
  • Cisco Catalyst 9800-CL Wireless Controllers pour le Cloud
  • Cisco Embedded Wireless Controllers sur Catalyst Access Points
  • Cisco 1000 Series Connected Grid Router (CGR1K)
  • Cisco logiciel IOS versions 15.2(7)E.x antérieures à 15.2(7)E5
  • Cisco logiciel IOS versions 15.2(8)E.x antérieures à 15.2(8)E1
  • Cisco 1000 Series Integrated Services Routers
  • Cisco 4000 Series Integrated Services Routers
  • Cisco routeurs ASR 1001-X
  • Cisco routeurs ASR 1002-X
  • Cisco gamme de routeurs Catalyst 8300
  • Cisco gamme de routeurs Catalyst 8500
  • Cisco logiciel Catalyst 8000V Edge
  • Cisco Cloud Services Router 1000V Series
  • Cisco Embedded Wireless Controller avec le logiciel Catalyst Access Points versions 17.3.x antérieures à 17.3.4
  • Cisco Embedded Wireless Controller avec le logiciel Catalyst Access Points versions 17.6.x antérieures à 17.6.1

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Cisco. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs et des mesures de contournement (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 14 avril 2022
    Version initiale