Cisco Systems Çarşamba günü, Kurumsal NFV Altyapı Yazılımını etkileyen üç kusur içeren güvenlik yamaları gönderdi (NFVIS) bu, bir saldırganın ana bilgisayarların güvenliğini tamamen ele geçirmesine ve kontrolünü ele geçirmesine izin verebilir.
CVE-2022-20777, CVE-2022-20779 ve CVE-2022-20780 olarak izlenen güvenlik açıkları “saldırganın konuk sanal makineden (VM) ana makineye kaçmasına, kökte yürütülen komutları enjekte etmesine izin verebilir. seviye veya ana bilgisayardan VM’ye sistem verilerini sızdırıyor”, şirket dedim.
Sorunları keşfetmek ve bildirmek için kredilendirilenler, Orange Group’tan Cyrille Chatras, Pierre Denouel ve Loïc Restoux’dur. Güncellemeler 4.7.1 sürümünde yayınlandı.
Ağ ekipmanı şirketi, kusurların varsayılan yapılandırmada Cisco Enterprise NFVIS’i etkilediğini söyledi. Üç hatanın detayları aşağıdaki gibidir –
- CVE-2022-20777 (CVSS puanı: 9.9) – Kimliği doğrulanmış, uzak bir saldırganın NFVIS ana bilgisayarında yetkisiz kök düzeyinde erişim elde etmek için konuk VM’den kaçmasına izin veren yetersiz konuk kısıtlamalarıyla ilgili bir sorun.
- CVE-2022-20779 (CVSS puanı: 8.8) – Kimliği doğrulanmamış, uzak bir saldırganın görüntü kayıt işlemi sırasında NFVIS ana bilgisayarında kök düzeyinde yürütülen komutları enjekte etmesine izin veren uygunsuz bir giriş doğrulama hatası.
- CVE-2022-20780 (CVSS puanı: 7.4) – Cisco Enterprise NFVIS’in içe aktarma işlevinde, kimliği doğrulanmamış, uzak bir saldırganın yapılandırılmış herhangi bir VM’deki ana bilgisayardan sistem bilgilerine erişmesine izin verebilecek bir güvenlik açığı.
Cisco tarafından yakın zamanda ele alınan ayrıca, Uyarlanabilir Güvenlik Cihazı (ASA) ve Ateş Gücü Tehdit Savunması (FTD) yazılımında, kimliği doğrulanmış ancak ayrıcalıksız, uzak bir saldırganın ayrıcalıkları 15. seviyeye yükseltmesine izin verebilecek yüksek önemdeki bir kusurdur.
Şirket, “Bu, Cisco Uyarlanabilir Güvenlik Aygıt Yöneticisi (ASDM) veya Cisco Güvenlik Yöneticisi (CSM) gibi yönetim araçlarını kullanarak aygıta ayrıcalık düzeyi 15 erişimi içerir”, şirket not alınmış CVE-2022-20759 için bir danışma belgesinde (CVSS puanı: 8.8).
Ayrıca, Cisco geçen hafta bir “alan bildirimiCatalyst 2960X/2960XR cihazlarının kullanıcılarını, “çözümlerimizin orijinalliğini ve bütünlüğünü doğrulamak” ve güvenlik ihlallerini önlemek için tasarlanmış yeni güvenlik özelliklerini etkinleştirmek için yazılımlarını IOS Sürüm 15.2(7)E4 veya sonraki bir sürüme yükseltmeye çağırıyor.