S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 06 mai 2021
N° CERTFR-2021-AVI-350
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Cisco

Gestion du document

Référence CERTFR-2021-AVI-350
Titre Multiples vulnérabilités dans les produits Cisco
Date de la première version06 mai 2021
Date de la dernière version15 juin 2021
Source(s) Bulletin de sécurité Cisco cisco-sa-anyconnect-code-exec-jR3tWTA6 du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-hyperflex-rce-TjjNrkpR du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-imp-inj-ereCOKjR du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-nfvis-cmdinj-DkFjqg2j du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-sb-wap-multi-ZAfKGXhF du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-sd-wan-vmanage-4TbynnhZ du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-sdw-auth-bypass-65aYqcS2 du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-sdwan-buffover-MWGucjtO du 05 mai 2021
Bulletin de sécurité Cisco cisco-sa-sdwan-dos-Ckn5cVqW du 05 mai 2021
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Élévation de privilèges

Systèmes affectés

  • Cisco AnyConnect Secure Mobility Client pour Windows versions antérieures à 4.10.00093
  • Cisco Enterprise NFV Infrastructure Software (NFVIS) versions antérieures à 4.5.1
  • Cisco HyperFlex HX Software versions antérieures à 4.0(2e) ou 4.5(1b) 4.5(2a)
  • Cisco SD-WAN vBond Orchestrator Software versions antérieures à 20.4.1 ou 20.5.1
  • Cisco SD-WAN vEdge Cloud Routers versions antérieures à 20.4.1 ou 20.5.1
  • Cisco SD-WAN vEdge Routers versions antérieures à 20.4.1 ou 20.5.1
  • Cisco SD-WAN vManage Software versions antérieures à 20.4.1 ou 20.5.1
  • Cisco SD-WAN vSmart Controller Software versions antérieures à 20.4.1 ou 20.5.1
  • Cisco Unified Communications Manager IM & Presence Service versions 12.x antérieures à 12.5(1)SU4
  • Cisco Unified Communications Manager IM & Presence Service versions antérieures à 11.5(1)SU9
  • Cisco WAP125 Wireless-AC Dual Band Desktop Access Point with PoE versions antérieures à 1.0.4.3
  • Cisco WAP131 Wireless-N Dual Radio Access Point with PoE 1 toutes versions (produit en fin de vie, ne recevra pas de correctif)
  • Cisco WAP150 Wireless-AC/N Dual Radio Access Point with PoE versions antérieures à 1.1.3.2
  • Cisco WAP351 Wireless-N Dual Radio Access Point with 5-Port Switch1 toutes versions (produit en fin de vie, ne recevra pas de correctif)
  • Cisco WAP361 Wireless-AC/N Dual Radio Wall Plate Access Point with PoE versions antérieures à 1.1.3.2
  • Cisco WAP581 Wireless-AC Dual Radio Wave 2 Access Point with 2.5GbE LAN versions antérieures à 1.0.4.4
  • IOS XE SD-WAN Software toutes versions

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Cisco. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 06 mai 2021
    Version initiale
    le 15 juin 2021
    Correction de la version 4.5 non vulnérable d'HyperFlex HX.