چندین نقص امنیتی در مکانیزم احراز هویت مدیریت دیتاسنتر سیسکو به نامCisco Data Center Network Manager (DCNM) وجود دارد که موجب دسترسی به کاربر احراز هویت نشده می‌شود و با سطح دسترسی کاربر ممتاز به حمله کننده اجازه اجرای کد را می‌دهد.
شناسه آسیب‌پذیری: CVE-2019-15975 و CVE-2019-15976 و CVE-2019-15977
سطح ریسک: بحرانی
CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C: H/I: H/A: H
سیستم‌های آسیب‌پذیر:
Cisco DCNM software releases earlier than Release 11.3(1)
نیازمندی تعامل کاربر: خیر
سال شناسایی: ۲۰۱۹
شرکت سیسکو به روز رسانی به منظور پوشش این آسیب پذیری ارایه نموده است و هیچگونه راهکار ایمن سازی اولیه ارایه نشده است. تجهیزات DCNM سیسکو در نسخه‌های قبل از ۱۱.۳ که بر روی پلتفرم ویندوز، لینوکس و یا محیط مجازی اجرا می شوند وجود دارد. این آسیب پذیری ها به یکدیگر مرتبط نیستند و سو استفاده از هریک منوط به سواستفاده از آسیب پذیری دیگر نیست.
نقص در REST API تجهیزات DCNM سیسکو به حمله کننده از راه دور اجازه می‌دهد که احراز هویت را دور بزند. این آسیب‌پذیری‌ها به دلیل کلید رمزنگاری ثابت ایجاد شده‌اند که در دفعات نصب مختلف به اشتراک گذاشته شده است. حمله کننده می‌تواند از طریق این کلید، به یک نشست معتبر دسترسی یابد و سواستفاده کننده موفق به اجرای اقدامات با سطح دسترسی ممتاز می‌شود.
نقص دیگری در SOAP API تجهیز DCNM سیسکو وجود دارد که به حمله کننده این اجازه را می‌دهد از راه دور بدون احراز هویت مراحل احراز هویت دستگاه را دور بزند.
نقص دیگری در واسط مدیریت وب تجهیز DCNM سیسکو وجود دارد که به حمله کننده این اجازه را می‌دهد بدون احراز هویت مراحل احراز هویت دستگاه را دور بزند. این آسیب‌پذیری به دلیل وجود اطلاعات هویتی ثابت می‌باشد. مهاجم می‌تواند با استفاده از این اطلاعات ثابت، خود را احراز هویت نماید. سواستفاده موفق منجربه دسترسی مهاجم به بخشی از واسط کاربری می‌گردد و اطلاعات محرمانه توسط او قابل دسترس می‌گردد. این اطلاعات می‌تواند توسط مهاجم برای حملات بعدی استفاده گردد.
