CVE-2023-20030

Cisco Identity Services Engine (ISE) web tabanlı yönetim arayüzündeki bir güvenlik açığı; kimliği doğrulanmış, uzak bir saldırganın hassas bilgilere erişmesine, etkilenen bir cihaz üzerinden sunucu taraflı istek sahteciliği (SSRF) saldırısı gerçekleştirmesine veya web tabanlı yönetim arayüzünün yanıt verme kapasitesini olumsuz etkilemesine izin verebilir. Bu güvenlik açığı, belirli XML dosyaları ayrıştırılırken XML Dış Varlık (XXE) girişlerinin uygun şekilde işlenmemesinden kaynaklanmaktadır. Bir saldırgan, dış varlıklara referanslar içeren özel olarak hazırlanmış bir XML dosyası yükleyerek bu güvenlik açığını istismar edebilir. Başarılı bir istismar, saldırganın yerel sistemden dosyaları almasına ve bunun sonucunda gizli bilgilerin ifşa edilmesine neden olabilir. Başarılı bir istismar ayrıca, web uygulamasının saldırgan adına rastgele HTTP istekleri gerçekleştirmesine veya web tabanlı yönetim arayüzünün kullanılabilirliğini azaltmak için bellek kaynaklarını tüketmesine yol açabilir. Bu güvenlik açığının başarıyla istismar edilebilmesi için saldırganın geçerli Super Admin veya Policy Admin kimlik bilgilerine sahip olması gerekir.