云安全日报220609：思科云应用策略基础设施控制器发现特权升级漏洞，需

日前，思科发布了一个安全更新，以修复在思科应用策略基础设施控制器和思科云APIC中发现的权限提升漏洞。以下是该漏洞的详细信息:

漏洞详细信息

CVE—2021—1579 CVSS得分:8.1高

Cisco Application Policy infra structure Controller和Cisco Cloud Application Policy infra structure Controller的API端点中存在漏洞，使得拥有管理员只读凭据的经过身份验证的远程攻击者能够提升受影响系统的权限。

此漏洞是由于基于角色的访问控制不足造成的具有管理员只读凭据的攻击者可以通过使用具有管理员写入凭据的应用程序发送特定的API请求来利用此漏洞成功利用可能允许攻击者提升受影响设备上具有写权限的管理员的权限

受影响的产品

对于思科APIC和思科云5.2之前的版本，如果设备安装并启用了具有管理员写入权限的应用程序，此漏洞将会影响设备。

要确定设备是否有启用管理员写入的应用程序，请执行以下操作:

1.打开Web用户界面，然后单击应用程序选项卡。

2.将鼠标指针悬停在已安装和启用的应用程序上右上角会出现四个图标

3.单击最左侧的图标，查看应用程序的权限和权限级别如果显示权限:管理和权限级别:写入，则设备受此漏洞影响

解决办法

思科APIC或思科云APIC 3.2和以前的版本可以通过升级到版本3.2来修复。

介于3.2和4.2之间的思科APIC或思科云apic版本可以通过升级到4.2版本来修复。

介于4.2和5.2之间的思科APIC或思科云apic版本可以通过升级到5.2版本来修复。