Een belangrijke kwetsbaarheid in een subset van de REST-API’s van Cisco Prime Infrastructure en Cisco Evolved Programmable Network Manager (EPNM) kan een geauthenticeerde, laag-geprivilegieerde, externe aanvaller in staat stellen om een blind SQL injectie aanval uit te voeren. Deze kwetsbaarheid, geïdentificeerd als CVE-2025-20272, kan een aanvaller de mogelijkheid bieden om gegevens uit sommige databasetabellen op het getroffen apparaat te bekijken.
Waarschuwing: Deze kwetsbaarheid is het gevolg van onvoldoende validatie van door de gebruiker geleverde invoer, waarbij door een speciaal geconstrueerd verzoek toegang wordt verkregen zonder dat interactie van de gebruiker nodig is. Hoewel de Cisco PSIRT momenteel geen publiek aangekondigde exploitatie gevallen kent, is het raadzaam om proactief te handelen.
Overzicht
De kwetsbaarheid bevindt zich in ondersteuningsversies van Cisco Prime Infrastructure en Cisco Evolved Programmable Network Manager, waarvan hier enkele getroffen versies zijn:
- Cisco EPNM versies 3.0.1, 4.1.1.1, 5.0.2
- Cisco Prime Infrastructure versies 2.1, 3.1.0, 3.10
Aanbevelingen
Er zijn op dit moment geen specifieke updates of patches beschikbaar gesteld. We raden aan om uw systemen regelmatig op updates te controleren en contact te houden met Cisco voor het laatste beveiligingsadvies.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-20272?
Het betreft een blind SQL injectie kwetsbaarheid in Cisco EPNM en Cisco Prime Infrastructure die aanvallers kan toelaten sommige databasetabellen te bekijken.
Welke systemen zijn kwetsbaar voor CVE-2025-20272?
Onder andere Cisco EPNM versies vanaf 3.0.1 t/m 8.1.0 en Cisco Prime Infrastructure versies vanaf 2.1 tot 3.10.0.
Bestaat er al een patch of beveiligingsupdate?
Momenteel zijn er geen officiële updates of patches door Cisco uitgebracht. Het is belangrijk deze te verwachten en uw systemen regelmatig te controleren.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan via deze kwetsbaarheid toegang krijgen tot en mogelijk gevoelige informatie ophalen uit database tabellen.
