Cisco, ürünlerinden birinde, tehdit aktörlerinin uzaktan kötü amaçlı kod çalıştırmasına veya hedef uç noktalardan hassas verileri çalmasına neden olabilecek sıfır gün hatası bulduğunu bildirdi. (yeni sekmede açılır).
Güvenlik açığı, BT ekipleri tarafından sunucularını taşımak veya yükseltmek için kullanılan bir araç olan Prime Collaboration Deployment (PCD) adlı bir üründe bulundu. Kusur artık CVE-2023-20060 olarak izleniyor ve 6,1 puanla “Orta” önem derecesinde kabul ediliyor. Rastgele kod başlatmak için kötüye kullanılabilen bir siteler arası komut dosyası çalıştırma güvenlik açığı olarak tanımlanır.
Ancak, düzeltme eki hâlâ geliştirme aşamasındadır ve sorun için herhangi bir geçici çözüm yoktur.
Kurban etkileşimi gerekiyor
Tipik bir siteler arası komut dosyası çalıştırma (XSS) saldırısı, tehdit aktörünün, kullanıcıların güvendiği meşru ve temiz bir web sitesine kötü amaçlı bir komut dosyası enjekte ettiği bir enjeksiyon biçimidir.
Cisco, “Bu güvenlik açığı, web tabanlı yönetim arabiriminin kullanıcı tarafından sağlanan girişi düzgün bir şekilde doğrulamamasından kaynaklanmaktadır. Bir saldırgan, arabirim kullanıcısını hazırlanmış bir bağlantıyı tıklatmaya ikna ederek bu güvenlik açığından yararlanabilir” dedi.
“Başarılı bir istismar, saldırganın etkilenen arabirim bağlamında rasgele komut dosyası kodu yürütmesine veya hassas, tarayıcı tabanlı bilgilere erişmesine izin verebilir.”
Başka bir deyişle, güvenlik açığından yararlanılabilir, ancak bu, kurbanın eylemine bağlıdır. Saldırganın, kurbanı özel hazırlanmış, kötü amaçlı bir bağlantıyı tıklamaya ikna etmesi gerekir.
Şirket, bir düzeltmenin yolda olduğunu söyledi, ancak ne zaman yayınlanabileceğine dair herhangi bir zaman çizelgesi sağlamadı. Geçici çözüm yok.
Bu kulağa sorunlu gelse de, Cisco Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), kusurun vahşi ortamda kullanıldığına dair hiçbir kanıt bulamadı.
Cisco, danışma belgesinde, kusurun NATO Siber Güvenlik Merkezi’nden (NCSC) Pierre Vivegnis tarafından keşfedildiğini söyledi.
Aracılığıyla: BleepingBilgisayar (yeni sekmede açılır)
