思科警告称其IMC存在命令注入升级漏洞并且POC已公开发布

思科已解决了一个高严重性的集成管理控制器（IMC）漏洞，并意识到此问题存在公开的利用代码。PoC利用代码允许本地攻击者提升特权至root。思科集成管理控制器（IMC）是为思科UCS C系列机架服务器和UCS S系列存储服务器提供嵌入式服务器管理的基板管理控制器（BMC）。该漏洞，被跟踪为CVE-2024-20295，位于思科集成管理控制器（IMC）的CLI中。

本地认证的攻击者可以利用此漏洞对底层操作系统进行命令注入攻击，并提升特权至root。这家IT巨头报告称，要利用此漏洞，攻击者必须在受影响的设备上具有只读或更高的特权。“此漏洞是由于对用户提供的输入的验证不足所致。攻击者可以通过提交精心制作的CLI命令来利用此漏洞。成功利用可允许攻击者提升特权至root。”

公告中写道。该漏洞影响以下产品，如果它们在默认配置下运行受影响版本的思科IMC：5000系列企业网络计算系统（ENCS）、Catalyst 8300系列边缘uCPE、UCS C系列机架服务器独立模式、UCS E系列服务器。如果基于预配置版本的UCS C系列服务器的设备公开了对IMC CLI的访问，则也会受到此漏洞的影响。

公司表示，没有解决此漏洞的解决方法。思科PSIRT知晓此漏洞存在PoC利用代码，但尚未发现野外攻击利用它的情况。

原文始发于微信公众号（黑猫安全）：思科警告称其IMC存在命令注入升级漏洞并且POC已公开发布