Cisco Systems a livré mercredi des correctifs de sécurité pour contenir trois failles affectant son logiciel d’infrastructure NFV d’entreprise (NFVIS) qui pourrait permettre à un attaquant de compromettre complètement et de prendre le contrôle des hôtes.
Suivies comme CVE-2022-20777, CVE-2022-20779 et CVE-2022-20780, les vulnérabilités “pourraient permettre à un attaquant de s’échapper de la machine virtuelle invitée (VM) vers la machine hôte, d’injecter des commandes qui s’exécutent à la racine niveau, ou fuite de données système de l’hôte vers la VM”, l’entreprise mentionné.
Cyrille Chatras, Pierre Denouel et Loïc Restoux du groupe Orange sont crédités pour avoir découvert et signalé les problèmes. Des mises à jour ont été publiées dans la version 4.7.1.
La société d’équipements de réseau a déclaré que les failles affectent Cisco Enterprise NFVIS dans la configuration par défaut. Les détails des trois bogues sont les suivants –
- CVE-2022-20777 (Score CVSS : 9,9) – Un problème avec des restrictions d’invité insuffisantes qui permet à un attaquant distant authentifié de s’échapper de la machine virtuelle invitée pour obtenir un accès non autorisé au niveau racine sur l’hôte NFVIS.
- CVE-2022-20779 (Score CVSS : 8,8) – Une faille de validation d’entrée incorrecte qui permet à un attaquant distant non authentifié d’injecter des commandes qui s’exécutent au niveau racine sur l’hôte NFVIS pendant le processus d’enregistrement d’image.
- CVE-2022-20780 (Score CVSS : 7,4) – Une vulnérabilité dans la fonction d’importation de Cisco Enterprise NFVIS qui pourrait permettre à un attaquant distant non authentifié d’accéder aux informations système de l’hôte sur n’importe quelle machine virtuelle configurée.
Cisco s’est également attaqué récemment à une faille très grave dans ses logiciels Adaptive Security Appliance (ASA) et Firepower Threat Defense (FTD) qui pourrait permettre à un attaquant distant authentifié, mais non privilégié, d’élever ses privilèges au niveau 15.
“Cela inclut l’accès au niveau de privilège 15 à l’appareil à l’aide d’outils de gestion tels que Cisco Adaptive Security Device Manager (ASDM) ou Cisco Security Manager (CSM)”, a déclaré la société. c’est noté dans un avis pour CVE-2022-20759 (score CVSS : 8,8).
En outre, Cisco a publié la semaine dernière un “avis de terrain” exhortant les utilisateurs des appliances Catalyst 2960X/2960XR à mettre à niveau leur logiciel vers la version IOS 15.2(7)E4 ou ultérieure pour activer de nouvelles fonctionnalités de sécurité conçues pour “vérifier l’authenticité et l’intégrité de nos solutions” et éviter les compromis.