Várias falhas foram identificadas no produto, sendo que a mais grave é a possibilidade de execução de código remota e upload de ficheiro por parte de um atacante não autenticado e de forma remota.
CVE-2019-1620 – Upload de ficheiro e execução de código remota
A falha está na interface de gestão web que permite ao atacante fazer upload de qualquer ficheiro no sistema vulnerável. A falha acontece devido a configurações incorretas das permissões.
CVE-2019-1619 – Ultrapassagem do mecanismo de autenticação
A raiz do problema está numa gestão incorreta da sessão, o que permite a um atacante executar comandos com privilégios de administrador
CVE-2019-1621 – Download de qualquer ficheiro
A falha está na interface de gestão web, que permite a um atacante ganhar acesso a ficheiros sensíveis do sistema. A raiz do problema está, igualmente, na falta de configurações das permissões.
CVE-2019-1622 – Acesso a informação sensível
A falha está na interface web, permitindo a um atacante remoto aceder a informação sensível do dispositivo. A raiz do problema encontra-se na inexistência de de controlos de acesso para URL's específicos.
Fonte: https://threatpost.com/cisco-warns-of-critical-flaws-in-data-center-network-manager/146050/
Mais informações no advisory oficial: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190626-dcnm-file-dwnld
