SecBoard
Zurück zur CVE-Übersicht

CVE-2008-4128

HIGH(8.1)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Risk Signal Score60/100 — HOCH
  • CVSS 8.1 — Hoch
  • EPSS 34%
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

33.9%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.1

Technische Schwere

SecBoard-Einordnung

CVE-2008-4128 beschreibt mehrere ()-Schwachstellen in der HTTP Administration Komponente von Cisco IOS 12.4 auf dem 871 Integrated Services Router. Diese Schwachstellen ermöglichen es entfernten Angreifern, beliebige Befehle auszuführen, indem sie spezifische 'show privilege' oder 'alias exec' Befehle über präparierte URIs senden. Die erfolgreiche Ausnutzung kann zur Ausführung von Befehlen mit erhöhten Rechten führen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Multiple cross-site request forgery (CSRF) vulnerabilities in the HTTP Administration component in Cisco IOS 12.4 on the 871 Integrated Services Router allow remote attackers to execute arbitrary commands via (1) a certain "show privilege" command to the /level/15/exec/- URI, and (2) a certain "alias exec" command to the /level/15/exec/-/configure/http URI. NOTE: some of these details are obtained from third party information.

Erkennung & Indikatoren

Ausnutzung

CISA hat diese Schwachstelle am 13. Juli 2026 in ihren KEV-Katalog aufgenommen, basierend auf Beweisen für aktive Ausnutzung.

Threat-Hunting-Queries

Diese Schwachstelle ist eine Cross-Site Request Forgery (CSRF) in der HTTP-Administrationskomponente von Cisco IOS. Die Erkennung sollte sich auf ungewöhnliche HTTP-POST-Anfragen an administrative URIs wie /level/15/exec/- oder /level/15/exec/-/configure/http konzentrieren, insbesondere wenn diese von unerwarteten Referrern oder ohne ordnungsgemäße CSRF-Token stammen.

Sentinel/Defender KQL

DeviceNetworkEvents
| where ActionType == "ConnectionAttempt"
| where RemotePort == 80 or RemotePort == 443
| where RemoteUrl contains "/level/15/exec/-" or RemoteUrl contains "/level/15/exec/-/configure/http"
| where InitiatingProcessFileName contains "browser" or InitiatingProcessFileName contains "web"
| summarize count() by DeviceName, RemoteUrl, InitiatingProcessFileName, InitiatingProcessCommandLine
| where count_ > 5 // Adjust threshold as needed for your environment

Splunk SPL

sourcetype=cisco_ios_http_logs (uri_path="/level/15/exec/-" OR uri_path="/level/15/exec/-/configure/http") method=POST | stats count by host, uri_path, src_ip | where count > 5

Sigma

title: Cisco IOS HTTP Admin CSRF Attempt
id: 7a8b9c0d-1e2f-3a4b-5c6d-7e8f9a0b1c2d
status: experimental
description: Detects potential Cross-Site Request Forgery attempts against Cisco IOS HTTP Administration.
references:
  - https://www.cve.org/CVERecord?id=CVE-2008-4128
logsource:
  category: webserver
  product: cisco_ios
detection:
  selection:
    http_method: "POST"
    uri_path|contains:
      - "/level/15/exec/-"
      - "/level/15/exec/-/configure/http"
  condition: selection

Elastic ES|QL

FROM logs-cisco.ios-*
| WHERE http.request.method == "POST"
| WHERE http.request.url.path LIKE "%/level/15/exec/-%" OR http.request.url.path LIKE "%/level/15/exec/-/configure/http%"
| STATS count() BY host.name, http.request.url.path, source.ip
| WHERE count > 5

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:cisco:ios:12.4:*:*:*:*:*:*:*

Referenzen