Se han reportado múltiples vulnerabilidades de secuencias de comandos entre sitios (XSS) que han sido identificadas en la interfaz de administración basada en la web de varios productos de Cisco.
Productos Afectados:
- Cisco Secure Email and Web Manager versión 15.5 y anteriores.
- Secure Email Gateway versión 15.5 y anteriores.
- Secure Web Appliance versión 15.0 y anteriores.
Las mismas están identificadas como:
CVE-2024-20258: Se ha asignado una puntuación en CVSSv3 de 6.1, con una severidad media. Esto podría permitir a un actor malicioso remoto no autenticado o autenticado ejecutar código de script arbitrario en el contexto del usuario objetivo o acceder a información confidencial.
CVE-2024-20258: Se ha asignado una puntuación en CVSSv3 de 4.8, con una severidad media. Esto podría permitir a un actor malicioso permitir que un atacante remoto autenticado ejecute código de script arbitrario en el contexto de la interfaz afectada o acceda a información confidencial basada en el navegador.
CVE-2024-20257: Se ha asignado una puntuación en CVSSv3 de 4.8, con una severidad media. Esto podría permitir a un actor malicioso remoto autenticado ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador.
CVE-2024-20283: Se ha asignado una puntuación en CVSSv3 de 4.3, con una severidad media. Esto podría permitir a un actor malicioso autenticado realice un ataque XSS contra un usuario de la interfaz.
Recomendación:
Se recomienda a los usuarios la actualización del software afectado a la versión más reciente desde la pagina oficial del fabricante.
Referencias:
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-wsa-xss-bgG5WHOD?vs_f=Cisco%20Security%20Advisory&vs_cat=Security%20Intelligence&vs_type=RSS&vs_p=Cisco%20Secure%20Email%20and%20Web%20Manager,%20Secure%20Email%20Gateway,%20and%20Secure%20Web%20Appliance%20Cross-Site%20Scripting%20Vulnerabilities&vs_k=1
- https://nvd.nist.gov/vuln/detail/CVE-2024-20283
- https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2024-20257
- https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2024-20256