Cisco lanzó el miércoles actualizaciones de seguridad para abordar una falla crítica que afecta sus productos de las series IP Phone 6800, 7800, 7900 y 8800.
La vulnerabilidad, rastreada como CVE-2023-20078, tiene una calificación de 9,8 sobre 10 en el sistema de puntuación CVSS y se describe como un error de inyección de comandos en la interfaz de administración basada en la web que surge debido a una validación insuficiente de la entrada proporcionada por el usuario.
La explotación exitosa del error podría permitir que un atacante remoto no autenticado inyecte comandos arbitrarios que se ejecutan con los privilegios más altos en el sistema operativo subyacente.
«Un atacante podría explotar esta vulnerabilidad enviando una solicitud diseñada a la interfaz de administración basada en la web», Cisco dicho en una alerta publicada el 1 de marzo de 2023.
La empresa también parchó una vulnerabilidad de denegación de servicio (DoS) de alta gravedad que afecta al mismo conjunto de dispositivos, así como al Cisco Unified IP Conference Phone 8831 y al Unified IP Phone 7900 Series.
CVE-2023-20079 (puntaje CVSS: 7.5), también como resultado de una validación insuficiente de la entrada proporcionada por el usuario en la interfaz de administración basada en la web, podría ser abusado por un adversario para causar una condición DoS.
Si bien Cisco lanzó Cisco Multiplatform Firmware versión 11.3.7SR1 para resolver CVE-2023-20078, la compañía dijo que no planea corregir CVE-2023-20079, ya que ambos modelos Unified IP Conference Phone han llegado al final de su vida útil ( final de vida).
La compañía dijo que no tiene conocimiento de ningún intento de explotación malicioso dirigido a la falla. También dijo que las fallas se descubrieron durante las pruebas de seguridad internas.
El aviso surge cuando Aruba Networks, una subsidiaria de Hewlett Packard Enterprise, lanzó una actualización de ArubaOS para remediar Múltiples fallas de inyección de comandos no autenticados y desbordamiento de búfer basado en pila (desde CVE-2023-22747 hasta CVE-2023-22752, puntajes CVSS: 9.8) que podrían resultar en la ejecución del código.