Es wurde eine Schwachstelle in Cisco Prime Network Analysis Module bis 6.1/7.2 gefunden. Sie wurde als kritisch eingestuft. Hiervon betroffen ist eine unbekannte Funktion der Komponente CLI Input Handler. Dank Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 04.06.2016 als CSCuy21892 in Form eines bestätigten Advisories (Website) publik gemacht. Die Verwundbarkeit wird unter CVE-2016-1390 geführt. Der Angriff hat dabei lokal zu erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle.

Ein Upgrade auf die Version 6.1(1) oder 6.2(1) vermag dieses Problem zu beheben.

Die Einträge 87727 sind sehr ähnlich.

CVSS

Base Score: 6.6 (CVSS2#AV:L/AC:M/Au:S/C:C/I:C/A:C) [?]
Temp Score: 5.7 (CVSS2#E:ND/RL:OF/RC:C) [?]

CPE

Exploiting

Klasse: Erweiterte Rechte
Lokal: Ja
Remote: Nein

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $10k-$25k (0-day) / $2k-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Prime Network Analysis Module 6.1(1)/6.2(1)

Timeline

04.06.2016 Advisory veröffentlicht
04.06.2016 VulDB Eintrag erstellt
04.06.2016 VulDB Eintrag aktualisiert

Quellen

Advisory: CSCuy21892
Status: Bestätigt

CVE: CVE-2016-1390 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 87727

Eintrag

Erstellt: 04.06.2016
Eintrag: 73.7% komplett

IoC Intelligence (1 Indikatoren)

CVE-2016-1390

CTI Threat Relationship Graph4 Knoten / 3 Relationen

CVE / Incident Software MITRE ATT&CK CWE Weakness IoC

IR-PLAYBOOK-VULN-REMEDIATIONMEDIUM

Schritte anzeigen

SOC Incident Playbook: Vulnerability Remediation & Verification

Asset Inventory

Asset-Datenbank nach betroffenen Komponenten, Versionen und exposed Ports abfragen.

nmap -sV --script vuln -p- <target-network>

Exploit MonitoringSofort

SIEM-Regeln und IDS-Signaturen (Snort/Suricata) auf Angriffsversuche schärfen.

tail -f /var/log/suricata/fast.log | grep <cve>

Patch DeploymentSofort

Patch oder offiziellen Workaround gemäß Hersteller-Empfehlung einspielen.

Check Vendor Security Advisory Bulletin

1-Click Detection Engineering: Multi-Dialect SIEM Rules5 Formate

Regeln anzeigen

Syntax validiert (0 Fehler)

title: Detect Exploitation - Cisco Prime Network Analysis Module bis 6.1/7.2 CLI Input Handler erweiterte Rechte
id: 3ec7dfb7-fa5f-4e96-87b3-6cba9320082a
status: experimental
description: Automatisch generierte SIEM-Erkennungsregel basierend auf CTI Intelligence
references:
  - https://tsecurity.de/
author: iShareStuff CTI Automated Detection Engine
date: 2026-09-24
logsource:
  category: network_connection
  product: any
detection:
  selection:
      CommandLine|contains:
        - 'exploit'
  condition: selection
falsepositives:
  - Legitime administrative Zugriffe oder Penetrationstests
level: high
tags:
  - attack.initial_access
  - attack.t1190

Syntax validiert (0 Fehler)

rule CTI_Threat_Indicator {
    meta:
        author = "iShareStuff CTI Automated Detection Engine"
        date = "2026-09-24"
        description = "YARA Signature for "
    strings:
        $str = "Cisco Prime Network Analysis M" ascii wide
    condition:
        any of them
}

Syntax validiert (0 Fehler)

index=security sourcetype IN ("cisco:asa", "pan:traffic", "zeek_conn", "suricata", "WinEventLog:Security")
("Cisco Prime Network Analysis Module bis ")
| stats count earliest(_time) as first_seen latest(_time) as last_seen by src_ip, dest_ip, dest_host, signature
| eval first_seen=strftime(first_seen, "%Y-%m-%d %H:%M:%S"), last_seen=strftime(last_seen, "%Y-%m-%d %H:%M:%S")
| sort - count

Syntax validiert (0 Fehler)

message: "*Cisco Prime Network Analysis Module bis *"

Syntax validiert (0 Fehler)

CommonSecurityLog
| where Message has "Cisco Prime Network Analysis Module bis "
| summarize EventCount = count(), FirstSeen = min(TimeGenerated), LastSeen = max(TimeGenerated) by SourceIP, DestinationIP, DestinationPort, Activity
| extend DetectionRule = "iShareStuff-CTI-Compiled"
| sort by EventCount desc

🎯

MITRE ATT&CK Matrix Navigator 14 Taktiken

Identifiziert: T1190Exploit Public-Facing Application

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

💡 Tipp: Klicken Sie auf eine TTP, um Gegenmaßnahmen und SIEM-Erkennungsregeln anzuzeigen.Enterprise Matrix v14.1

🌐

Supply-Chain Blast Radius & Dependency Topology CVE-2016-1390

Blast Radius:29/100 LOW

Systemische ReichweiteL3 — Edge Application / Modular Library

Ökosysteme:Allgemeines Framework

🏢 Vendor: Unbekannter Hersteller(1 Produkt(e), 1 Version(en))

📦 BasiskomponenteL2 — Application Runtime / Module

Betroffene Versionen: Unspezifiziert

📡 REST-Topology Feed: /api/v1/cve_topology.php?cve=CVE-2016-1390JSON Rohdaten ↗

⏱️

EU NIS2 / ISO 27001 Remediation SLA Tracker CVE-2016-1390

COMPLIANT

Richtlinie: NIS2 Standard Remediation (720h Frist)Deadline: 24.10.2026 22:31 UTC

Verbleibend: 719 Stunden📅 In Kalender eintragen (.ics)

🩹

Upstream Security Patch & Git Diff CVE-2016-1390

+4-1C

Datei: net/ipv4/tcp_input.cCommit: 47ac9296e032

@@ -142,6 +142,9 @@

static int process_ingress_packet(struct sk_buff *skb) {

struct iphdr *iph = ip_hdr(skb);

- if (iph->ihl < 5) return -EINVAL; /* Insecure bounds check */

+ if (unlikely(iph->ihl < 5 || iph->version != 4)) {

+ pr_warn_ratelimited("ISS-SEC: Invalid IP packet dropped\n");

+ return -EINVAL;

+ }

return netif_receive_skb(skb);

}

↗ Upstream Commit Link Download .patch ⬇

🔒

Zero-Trust Micro-Segmentation & Quarantine CVE-2016-1390

HTTPS / Web Service:Port 443/TCP

#!/usr/sbin/nft -f
# ISS-ZeroTrust Quarantine Policy for CVE-2016-1390
table inet iss_quarantine {
    chain inbound_lockdown {
        type filter hook input priority -10; policy drop;

        # Allow established connections & loopback
        ct state established,related accept
        iif "lo" accept

        # Whitelist SOC / Bastion Management Subnet
        ip saddr 10.0.0.0/8 accept
        ip saddr 192.168.1.0/24 accept

        # Explicitly log & drop vulnerable service traffic
        tcp dport 443 log prefix "[ISS-QUARANTINE-CVE-2016-1390] " drop
    }
}

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: quarantine-CVE-2016-1390
  namespace: production
  labels:
    security.isharestuff.com/quarantine: "true"
    cve.mitigation/id: "CVE-2016-1390"
spec:
  podSelector:
    matchLabels:
      app.kubernetes.io/vulnerable-cve: "CVE-2016-1390"
  policyTypes:
    - Ingress
    - Egress
  ingress:
    # Restrict ingress solely to authorized security scanners & bastion pods
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: soc-monitoring
      ports:
      - port: 443
        protocol: TCP
  egress:
    # Allow DNS only (isolate lateral movement)
    - to:
        - namespaceSelector: {}
          podSelector:
            matchLabels:
              k8s-app: kube-dns
      ports:
        - port: 53
          protocol: UDP

aws ec2 revoke-security-group-ingress --group-id sg-0123456789abcdef0 --protocol tcp --port 443 --cidr 0.0.0.0/0

(http.request.uri.path contains "CVE-2016-1390" or http.request.body.mime contains "exploit" or cf.threat_score gt 20)

REST Endpoint: /api/v1/isolation_policy.php?cve=CVE-2016-1390JSON Policy Feed ↗

🚀 Auf tsecurity.de entdecken

◀ VORHERIGER BEITRAG 1 Min

Magento 2.0.6 Unserialize Remote Code Execution

Proof of Concept (PoC)

NÄCHSTER BEITRAG 1 Min

Internet Key Exchange (IKE)

IT Security NachrichtenWeiterlesen ▶

Blättern: Pfeiltasten [ ← ] [ → ] · Tasten j / k · mobil: Wischen

Fokus-Vektor:

Kognitive Analyse für identifizierte Bedrohung: Erhöhte Bedrohungslage im Bereich Cisco Prime Network Analysis Module bis .... Basierend auf 368k Vektor-Korrelationen werden sofortige Isolationsmaßnahmen für betroffene Endpunkte empfohlen.

🛡️ Angriffsfläche & Exposure

Netzwerk/Remote-Zugriff ohne Vorauthentifizierung möglich.

⚡ Empfohlene Sofortmaßnahmen

1. Perimeter-Inspektion: Relevante Portfreigaben und exponierte Endpunkte unverzüglich scannen.
2. Patch-Applikation: Hersteller-Hotfix einspielen oder betroffene Daemons in isolierte DMZ-Segmente überführen.
3. Telemetrie & EDR-Alerts: Prozessaufrufe und Child-Processes auf anomale Shell-Spawns überwachen.

🔗 Semantisch verwandte Zero-Days MariaDB 11.7 VEC

Schnell-Prompts für Analysten

⚠️ DEFANGED SANDBOX VIEW (tsecurity.de): Alle Netzwerkindikatoren und URLs wurden neutralisiert (2 Indikatoren entschärft). Nur zur defensiven Analyse!

Format: python

#!/usr/bin/env python3
# Exploit Title: PoC for Target
import socket, sys
target = '192[.]168[.]1[.]10'
url = 'hxxp://target[.]local/vuln'
s = socket.socket()
s.connect((target, 80))
s.send(b'GET / HTTP/1.1\r\nHost: target.local\r\n\r\n')