یک آسیب‌پذیری امنیتی جدید با شناسه ZDI-26-718 در محصول Cisco Identity Services Engine (ISE) شناسایی شده است که می‌تواند منجر به افشای اطلاعات حساس (Information Disclosure) شود.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی در کلاس MnTRESTLivelogService قرار دارد. دلیل بروز این مشکل، عدم محدودسازی صحیح ارجاعات XML External Entity (XXE) در هنگام پردازش داده‌ها است. در نتیجه، یک مهاجم می‌تواند با ارسال یک سند XML دست‌کاری شده (Crafted Document) که حاوی یک URI خاص است، پارسر XML را مجبور کند تا به آن آدرس دسترسی پیدا کرده و محتویات آن را در سند XML نهایی بگنجاند.
شرایط بهره‌برداری و اثرات
برای بهره‌برداری از این نقص، مهاجم باید دارای دسترسی‌های احراز هویت شده (Authentication) باشد. در صورت موفقیت، مهاجم می‌تواند اطلاعات حساس را در سطح دسترسی‌های حساب کاربری سرویس (Service Account) استخراج کند.
راهکار رفع مشکل
شرکت سیسکو برای رفع این آسیب‌پذیری به‌روزرسانی‌های لازم را منتشر کرده است. به مدیران شبکه و مهندسین امنیت توصیه می‌شود در اسرع وقت نسخه‌های اصلاحیه را روی محیط‌های عملیاتی خود اعمال نمایند.
