Cisco, Web kullanıcı arayüzünde, kimlik doğrulanmamış ve uzak saldırganların uzaktan kod yürütme (RCE) saldırılarında kullanabileceği birden fazla IP telefon modelinin web kullanıcı arayüzünde bulunan kritik bir güvenlik açığı ele aldı.
RCE kusuru (CVE-2023-20078), saldırganların başarılı bir sömürü takiben kök ayrıcalıklarıyla yürütülecek keyfi komutlar enjekte etmesine izin verir.
Cisco, "Başarılı bir istismar, saldırganın etkilenen bir cihazın temel işletim sisteminde keyfi komutlar yürütmesine izin verebilir." Dedi.
Şirket ayrıca bugün hizmet reddi (DOS) koşullarını tetiklemek için istismar edilebilecek ikinci bir yüksek şiddetli güvenlik açığı (CVE-2023-20079) açıkladı.
Her iki hata da kullanıcı tarafından sağlanan girişin yetersiz doğrulanmasından kaynaklanır ve hedeflenen cihazın web tabanlı yönetim arayüzüne gönderilen kötü şekilde hazırlanmış istekler kullanılarak kullanılabilir.
Güvenlik güvenlik açıkları, iç güvenlik testi sırasında Cisco Gelişmiş Güvenlik Girişimleri Grubu'ndan (ASIG) Zack Sanchez tarafından keşfedildi.
Etkilenen cihazların listesi, çok platformlu ürün yazılımlı (hem RCE hem de DOS saldırılarına karşı savunmasız) ve birleşik ip konferansı telefonu 8831, birleşik ip konferansı telefonu 8831 ile çok platformlu ürün yazılımı ve birleşik ipler ile Cisco IP Phone 6800, 7800 ve 8800 seri cihazları içerir. Telefon 7900 serisi (yalnızca DOS saldırılarına karşı savunmasız).
Şirketin Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), bu güvenlik kusurunu saldırılarda kullanma girişimlerinin kanıtını görmediğini de sözlerine ekledi.
Cisco, CVE-2023-20078 RCE güvenlik açığını ele almak için güvenlik güncellemeleri yayınlarken, şirket CVE-2023-20079 DOS kusurunu düzeltmek için yamalar yayınlamayacağını söyledi.
Şirket, "Cisco Unified IP Phone 7900 Serisi ve Cisco Unified IP Konferansı Telefon 8831 ömür sonu sürecine girdi."
Cisco ayrıca Aralık ayında, 7800 ve 8800 serisi çalışan Cisco IP telefonlarının Cisco Keşif Protokolü (CDP) işleme özelliğinde bulunan kamu istismarı kodu ile yüksek şiddetli sıfır gün güvenlik açığı (CVE-2022-20968) için yamalar serbest bırakacağını duyurdu. ürün yazılımı.
CVE-2022-20968 için bir güvenlik güncellemesi henüz mevcut olmasa da, yöneticilerin saldırı vektörünü kaldırmak için bağlantı katmanı keşif protokolünü (LLDP) destekleyen etkilenen IP telefon cihazlarında CDP'yi devre dışı bırakmaları tavsiye edilir.
Şubat 2020'de Cisco, Cisco Discovery protokolünde toplu olarak CDPWN olarak bilinen ve potansiyel olarak on milyonlarca işletme cihazı etkileyen beş RCE ve DOS güvenlik açıklarını yamaladı.
CISA, hackerların ZK Java Çerçevesi RCE Kusurdan yararlanması konusunda uyarıyor
Fortinet, Fortinac ve Fortiweb'de kritik RCE kusurlarını düzeltir
Auth0, 22.000 proje tarafından kullanılan JsonWebtoken Kütüphanesinde RCE kusurunu düzeltiyor
VMware, Vrealize Günlük Analizi Aracı'ndaki kritik güvenlik hatalarını düzeltir
Aruba Networks Arubaos'ta altı kritik güvenlik açığını giderir
Kaynak: Bleeping Computer