Cisco je objavio ispravke za rešavanje skupa od devet sigurnosnih propusta u svojim prekidačima serije Small Business koje bi neautorizovani udaljeni napadač mogao iskoristiti za pokretanje proizvoljnog koda ili uzrokovati stanje uskraćivanja usluge (DoS).
„Ove ranjivosti su posljedica nepravilne validacije zahtjeva koji se šalju na web interface“ rekao je Cisco, pridajući zasluge neimenovanom spoljnom istraživaču za prijavljivanje problema.
Četiri od devet ranjivosti su ocijenjene sa 9,8 od 10 na CVSS sistemu bodovanja, što ih čini kritičnim po prirodi. Devet nedostataka utiče na sledeće linije proizvoda:
- Pametni prekidači serije 250 (popravljeno u verziji firmvera 2.5.9.16)
- Upravljani prekidači serije 350 (popravljeno u verziji firmvera 2.5.9.16)
- Serija 350X sa stackable upravljanim prekidačima (popravljeno u verziji firmvera 2.5.9.16)
- Serija 550X upravljani prekidači koji se mogu slagati (popravljeno u verziji firmvera 2.5.9.16)
- Business 250 Series pametni prekidači (popravljeno u verziji firmvera 3.3.0.16)
- Business 350 Series upravljani prekidači (Popravljeno u verziji firmvera 3.3.0.16)
- Pametni prekidači serije 200 za mala preduzeća (Neće biti zakrpljeno)
- Small Business 300 Series upravljani prekidači (Neće biti zakrpljeno)
- Small Business 500 Series Stackable upravljani prekidači (Neće biti zakrpljeno)
Kratak opis svake od mana je sledeći:
- CVE-2023-20159 (CVSS rezultat: 9,8): Ranjivost u slučaju preopterećenja međumemorije Cisco Small Business serije prekidača
- CVE-2023-20160 (CVSS rezultat: 9,8): Ranjivost Cisco Small Business serije prekidača bez autentifikacije BSS Buffer Overflow-a
- CVE-2023-20161 (CVSS rezultat: 9,8): Ranjivost Cisco Small Business Series prekidača bez autentifikacije prekoračenja buffer-a u stack-u
- CVE-2023-20189 (CVSS rezultat: 9,8): Ranjivost Cisco Small Business serije prekidača bez autentifikacije prekoračenja buffer-a u stack-u
- CVE-2023-20024 (CVSS rezultat: 8,6): Ranjivost Cisco Small Business serije prekidača bez autentifikacije prekoračenja buffer-a u heap-u
- CVE-2023-20156 (CVSS rezultat: 8,6): Ranjivost Cisco Small Business serije prekidača bez autentifikacije prekoračenja buffer-a u heap-u
- CVE-2023-20157 (CVSS rezultat: 8,6): Ranjivost Cisco Small Business serije prekidača bez autentifikacije prekoračenja buffer-a u heap-u
- CVE-2023-20158 (CVSS rezultat: 8,6): Ranjivost Cisco Small Business serije prekidača bez Denial-of-Service autentifikacije
- CVE-2023-20162 (CVSS rezultat: 7,5): Ranjivost čitanja konfiguracije Cisco Small Business serije bez autentifikacije
Uspješno iskorištavanje gore spomenutih grešaka moglo bi dozvoliti neautorizovanom, udaljenom napadaču da izvrši proizvoljni kod sa root privilegijama na pogođenom uređaju slanjem posebno kreiranog zahtjeva kroz web bazirani korisnički interface.
Alternativno, mogu se zloupotrebiti za pokretanje DoS stanja ili čitanje neovlaštenih informacija o ranjivim sistemima putem malicioznog zahtjeva.
Cisco je rekao da ne planira izdati firmware ažuriranja za pametne prekidače serije 200 za male kompanije, upravljane prekidače serije 300 za male kompanije, upravljane komutatore serije 500 koji se mogu slagati, jer su ušli u proces na kraju životnog veka.
Proizvođač mrežne opreme takođe je rekao da je svjestan dostupnosti koda za iskorištavanje dokaza o konceptu (PoC), ali je napomenuo da nije uočio nikakve dokaze maliciozne eksploatacije u praksi.
S obzirom da Cisco uređaji postaju unosan vektor napada za hakere, korisnicima se preporučuje da brzo primjenjuju zakrpe kako bi ublažili potencijalne pretnje.
Izvor: The Hacker News