Cisco, Küçük İşletme Serisi Anahtarlarında kimliği doğrulanmamış, uzaktaki bir saldırgan tarafından rastgele kod çalıştırmak veya hizmet reddi (DoS) durumuna neden olmak için kullanılabilecek dokuz güvenlik açığını gidermek için güncellemeler yayınladı.
Cisco, “Bu güvenlik açıkları, web arayüzüne gönderilen isteklerin uygun olmayan şekilde doğrulanmasından kaynaklanmaktadır.” söz konususorunları bildirdiği için adı açıklanmayan bir harici araştırmacıya atıfta bulunmak.
Dokuz güvenlik açığından dördü, CVSS puanlama sisteminde 10 üzerinden 9,8 olarak derecelendirildi ve bu da onları doğası gereği kritik kılıyor. Dokuz kusur, aşağıdaki ürün gruplarını etkiler –
- 250 Serisi Akıllı Anahtarlar (Firmware sürümü 2.5.9.16’da düzeltildi)
- 350 Serisi Yönetilen Switch’ler (Firmware sürümü 2.5.9.16’da düzeltildi)
- 350X Serisi İstiflenebilir Yönetilebilir Anahtarlar (Firmware sürümü 2.5.9.16’da düzeltildi)
- 550X Serisi İstiflenebilir Yönetilen Anahtarlar (Firmware sürümü 2.5.9.16’da düzeltildi)
- Business 250 Serisi Akıllı Anahtarlar (Bellenim sürümü 3.3.0.16’da düzeltildi)
- Business 350 Serisi Yönetilen Anahtarlar (Firmware sürümü 3.3.0.16’da düzeltildi)
- Küçük İşletme 200 Serisi Akıllı Anahtarlar (yama uygulanmayacak)
- Küçük İşletme 300 Serisi Yönetilen Anahtarlar (yama uygulanmayacak)
- Küçük İşletme 500 Serisi Yığınlanabilir Yönetilen Anahtarlar (Yamalı olmayacak)
Kusurların her birinin kısa bir açıklaması aşağıdaki gibidir –
- CVE-2023-20159 (CVSS puanı: 9,8): Cisco Small Business Series Anahtarlarda Yığın Arabellek Taşması Güvenlik Açığı
- CVE-2023-20160 (CVSS puanı: 9,8): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış BSS Arabellek Taşması Güvenlik Açığı
- CVE-2023-20161 (CVSS puanı: 9.8): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış Yığın Arabellek Taşması Güvenlik Açığı
- CVE-2023-20189 (CVSS puanı: 9.8): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış Yığın Arabellek Taşması Güvenlik Açığı
- CVE-2023-20024 (CVSS puanı: 8.6): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış Yığın Arabellek Taşması Güvenlik Açığı
- CVE-2023-20156 (CVSS puanı: 8.6): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış Yığın Arabellek Taşması Güvenlik Açığı
- CVE-2023-20157 (CVSS puanı: 8.6): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış Yığın Arabellek Taşması Güvenlik Açığı
- CVE-2023-20158 (CVSS puanı: 8.6): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmamış Hizmet Reddi Güvenlik Açığı
- CVE-2023-20162 (CVSS puanı: 7,5): Cisco Small Business Series Anahtarlarında Kimliği Doğrulanmayan Yapılandırma Okuma Güvenlik Açığı
Yukarıda belirtilen hataların başarılı bir şekilde kullanılması, kimliği doğrulanmamış, uzaktaki bir saldırganın, web tabanlı kullanıcı arabirimi aracılığıyla özel olarak hazırlanmış bir istek göndererek, etkilenen bir cihazda kök ayrıcalıklarıyla rasgele kod yürütmesine izin verebilir.
Alternatif olarak, bir DoS koşulunu tetiklemek veya kötü amaçlı bir istek yoluyla savunmasız sistemlerdeki yetkisiz bilgileri okumak için de kötüye kullanılabilirler.
Sıfır Güven + Aldatma: Saldırganları Zekanızla Nasıl Alt Edeceğinizi Öğrenin!
Deception’ın gelişmiş tehditleri nasıl algılayabildiğini, yanal hareketi nasıl durdurabildiğini ve Sıfır Güven stratejinizi nasıl geliştirebildiğini keşfedin. Bilgilendirici web seminerimize katılın!
Cisco, Small Business 200 Serisi Akıllı Switch’ler, Small Business 300 Serisi Yönetilen Switch’ler, Small Business 500 Serisi Yığınlanabilir Yönetilen Switch’ler için ömür sonu sürecine girdikleri için ürün yazılımı güncellemelerini yayınlamayı planlamadığını söyledi.
Ağ ekipmanı uzmanı ayrıca, bir kavram kanıtı (PoC) istismar kodunun mevcudiyetinden haberdar olduğunu, ancak vahşi ortamda herhangi bir kötü niyetli istismar kanıtı gözlemlemediğini belirtti.
Cisco cihazlarının tehdit aktörleri için kazançlı bir saldırı vektörü haline gelmesiyle, kullanıcıların potansiyel tehditleri azaltmak için yamaları uygulamak üzere hızlı hareket etmeleri önerilir.
