SecBoard
Zurück zur CVE-Übersicht

CVE-2019-1971

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score26/100 — MITTEL
  • CVSS 9.8 — Kritisch

EPSS-Score

3.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2019-1971 betrifft eine Schwachstelle im Webportal der Cisco Enterprise NFV Infrastructure Software (NFVIS). Diese Command Injection Schwachstelle ermöglicht einem nicht authentifizierten, entfernten Angreifer die Ausführung beliebiger Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem. Die Ursache liegt in einer unzureichenden Eingabevalidierung im Webportal-Framework. Ein Angreifer kann die Schwachstelle durch Bereitstellung bösartiger Eingaben während der Webportal-Authentifizierung ausnutzen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the web portal of Cisco Enterprise NFV Infrastructure Software (NFVIS) could allow an unauthenticated, remote attacker to perform a command injection attack and execute arbitrary commands with root privileges. The vulnerability is due to insufficient input validation by the web portal framework. An attacker could exploit this vulnerability by providing malicious input during web portal authentication. A successful exploit could allow the attacker to execute arbitrary commands with root privileges on the underlying operating system.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Detection focuses on unusual process execution patterns originating from the web portal framework, indicative of command injection.

Sentinel/Defender KQL

Syslog
| where ProcessName contains "nfvis" or AppName contains "nfvis"
| where Commandline has_any ("sh", "bash", "python", "perl", "nc", "wget", "curl") and Commandline !contains "legitimate_nfvis_commands"
| project TimeGenerated, HostName, ProcessName, Commandline, ParentProcessName

Splunk SPL

index=* (sourcetype=syslog OR sourcetype=linux_audit)
(ProcessName="*nfvis*" OR AppName="*nfvis*")
(Commandline="*sh*" OR Commandline="*bash*" OR Commandline="*python*" OR Commandline="*perl*" OR Commandline="*nc*" OR Commandline="*wget*" OR Commandline="*curl*") NOT Commandline="*legitimate_nfvis_commands*"
| table _time, host, ProcessName, Commandline, ParentProcessName

Sigma

title: Cisco NFVIS Command Injection Attempt
id: 00000000-0000-0000-0000-000000000001
status: experimental
description: Detects potential command injection attempts in Cisco NFVIS web portal by monitoring unusual process execution.
author: SecBoard
date: 2023/10/27
logsource:
  product: linux
  service: auditd
detection:
  selection:
    process_name|contains: 'nfvis'
    command_line|contains:
      - 'sh'
      - 'bash'
      - 'python'
      - 'perl'
      - 'nc'
      - 'wget'
      - 'curl'
  condition: selection
  falsepositives:
    - Legitimate NFVIS operations (requires tuning)
level: high

Elastic ES|QL

from logs
| where process.name : "*nfvis*" or service.name : "*nfvis*"
| where process.command_line : ("*sh*", "*bash*", "*python*", "*perl*", "*nc*", "*wget*", "*curl*") and not process.command_line : "*legitimate_nfvis_commands*"
| select @timestamp, host.name, process.name, process.command_line, process.parent.name

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:cisco:enterprise_nfv_infrastructure_software:*:*:*:*:*:*:*:*

Referenzen