Cisco et VMware ont publié des mises à jour de sécurité pour corriger les failles de sécurité critiques de leurs produits qui pourraient être exploitées par des acteurs malveillants pour exécuter du code arbitraire sur les systèmes concernés.
La plus grave des vulnérabilités est une faille d’injection de commande chez Cisco Industrial Network Director (CVE-2023-20036, score CVSS : 9,9), qui réside dans le composant de l’interface utilisateur Web et résulte d’une mauvaise validation des entrées lorsque télécharger un pack d’appareils.
« Un exploit réussi pourrait permettre à l’attaquant d’exécuter des commandes arbitraires en tant que NT AUTHORITYSYSTEM sur le système d’exploitation sous-jacent d’un appareil affecté », a déclaré Cisco. a dit dans un avis publié le 19 avril 2023.
Le spécialiste des équipements réseau a également résolu une vulnérabilité d’autorisations de fichiers de gravité moyenne dans le même produit (CVE-2023-20039, score CVSS : 5,5) qu’un attaquant local authentifié pourrait exploiter pour afficher des informations sensibles.
Des correctifs ont été mis à disposition dans version 1.11.3Cisco attribuant à un chercheur « externe » anonyme le mérite d’avoir signalé les deux problèmes.
Cisco a également corrigé une autre faille critique dans le mécanisme d’authentification externe du Laboratoires de modélisation plate-forme de simulation de réseau. Suivie comme CVE-2023-20154 (score CVSS : 9,1), la vulnérabilité pourrait permettre à un attaquant distant non authentifié d’accéder à l’interface Web avec des privilèges d’administration.
« Pour exploiter cette vulnérabilité, l’attaquant aurait besoin d’informations d’identification utilisateur valides qui sont stockées sur le serveur d’authentification externe associé », a déclaré la société. indiqué.
« Si le serveur LDAP est configuré de manière à répondre aux requêtes de recherche avec un tableau non vide d’entrées correspondantes (réponses contenant des entrées de référence de résultats de recherche), cette vulnérabilité de contournement d’authentification peut être exploitée. »
Bien qu’il existe des solutions de contournement pour combler la faille de sécurité, Cisco avertit les clients de tester l’efficacité de ces mesures correctives dans leur propre environnement avant de les administrer. La lacune a été corrigée avec le sortie de la version 2.5.1.
VMware livre des mises à jour pour Aria Operations for Logs
VMware, dans un avis publié le 20 avril 2023, a mis en garde contre une faille critique de désérialisation impactant plusieurs versions d’Aria Operations for Logs (CVE-2023-20864, score CVSS : 9,8).
Défendre avec tromperie : Faire progresser la sécurité Zero Trust
Découvrez comment Deception peut détecter les menaces avancées, arrêter les mouvements latéraux et améliorer votre stratégie Zero Trust. Rejoignez notre webinaire perspicace !
« Un acteur malveillant non authentifié disposant d’un accès réseau à VMware Aria Operations for Logs peut être en mesure d’exécuter du code arbitraire en tant que root », a déclaré le fournisseur de services de virtualisation. a dit.
VMware Aria Operations for Logs 8.12 corrige cette vulnérabilité ainsi qu’une faille d’injection de commande très grave (CVE-2023-20865, score CVSS : 7.2) qui pourrait permettre à un attaquant disposant de privilèges d’administrateur d’exécuter des commandes arbitraires en tant que root.
« CVE-2023-20864 est un problème critique et doit être corrigé immédiatement », a déclaré la société. a dit. « Il faut souligner que seule la version 8.10.2 est impactée par cette vulnérabilité. »
L’alerte survient près de trois mois après que VMware a corrigé deux problèmes critiques dans le même produit (CVE-2022-31704 et CVE-2022-31706, scores CVSS : 9,8) qui pourraient entraîner l’exécution de code à distance.
Les appliances Cisco et VMware se révélant être des cibles lucratives pour les acteurs de la menace, il est recommandé aux utilisateurs d’appliquer rapidement les mises à jour pour atténuer les menaces potentielles.