Cisco a publié des mises à jour pour corriger un ensemble de neuf failles de sécurité dans ses commutateurs Small Business Series qui pourraient être exploitées par un attaquant distant non authentifié pour exécuter du code arbitraire ou provoquer une condition de déni de service (DoS).
« Ces vulnérabilités sont dues à une mauvaise validation des requêtes qui sont envoyées à l’interface Web », a déclaré Cisco. a ditremerciant un chercheur externe anonyme d’avoir signalé les problèmes.
Quatre des neuf vulnérabilités sont notées 9,8 sur 10 sur le système de notation CVSS, ce qui les rend critiques par nature. Les neuf défauts affectent les gammes de produits suivantes –
- Commutateurs intelligents de la série 250 (corrigés dans la version 2.5.9.16 du micrologiciel)
- Commutateurs gérés de la série 350 (corrigés dans la version 2.5.9.16 du micrologiciel)
- Commutateurs gérés empilables de la série 350X (corrigé dans la version 2.5.9.16 du micrologiciel)
- Commutateurs gérés empilables de la série 550X (corrigé dans la version 2.5.9.16 du micrologiciel)
- Commutateurs intelligents de la série Business 250 (corrigés dans la version 3.3.0.16 du micrologiciel)
- Commutateurs gérés de la série Business 350 (corrigé dans la version 3.3.0.16 du micrologiciel)
- Commutateurs intelligents Small Business série 200 (ne seront pas corrigés)
- Commutateurs gérés Small Business série 300 (ne seront pas corrigés)
- Commutateurs gérés empilables pour petites entreprises série 500 (ne seront pas corrigés)
Une brève description de chacun des défauts est la suivante –
- CVE-2023-20159 (Score CVSS : 9,8) : Vulnérabilité de débordement de la mémoire tampon de la pile des commutateurs Cisco Small Business Series
- CVE-2023-20160 (Score CVSS : 9,8) : Vulnérabilité de débordement de la mémoire tampon BSS non authentifiée des commutateurs Cisco Small Business
- CVE-2023-20161 (Score CVSS : 9,8) : Vulnérabilité de débordement de la mémoire tampon de la pile non authentifiée des commutateurs Cisco Small Business Series
- CVE-2023-20189 (Score CVSS : 9,8) : Vulnérabilité de débordement de la mémoire tampon de la pile non authentifiée des commutateurs Cisco Small Business Series
- CVE-2023-20024 (Score CVSS : 8,6) : Vulnérabilité de débordement de la mémoire tampon du tas non authentifiée des commutateurs Cisco Small Business Series
- CVE-2023-20156 (Score CVSS : 8,6) : Vulnérabilité de débordement de la mémoire tampon du tas non authentifiée des commutateurs Cisco Small Business Series
- CVE-2023-20157 (Score CVSS : 8,6) : Vulnérabilité de débordement de la mémoire tampon du tas non authentifiée des commutateurs Cisco Small Business Series
- CVE-2023-20158 (Score CVSS : 8,6) : Vulnérabilité de déni de service non authentifiée des commutateurs Cisco Small Business Series
- CVE-2023-20162 (Score CVSS : 7,5) : Vulnérabilité de lecture de configuration non authentifiée des commutateurs Cisco Small Business Series
L’exploitation réussie des bogues susmentionnés pourrait permettre à un attaquant distant non authentifié d’exécuter du code arbitraire avec des privilèges root sur un appareil affecté en envoyant une requête spécialement conçue via l’interface utilisateur Web.
Alternativement, ils pourraient également être abusés pour déclencher une condition DoS ou lire des informations non autorisées sur des systèmes vulnérables au moyen d’une demande malveillante.
Zero Trust + Deception : apprenez à déjouer les attaquants !
Découvrez comment Deception peut détecter les menaces avancées, arrêter les mouvements latéraux et améliorer votre stratégie Zero Trust. Rejoignez notre webinaire perspicace !
Cisco a déclaré qu’il ne prévoyait pas de publier des mises à jour du micrologiciel pour les commutateurs intelligents Small Business série 200, les commutateurs gérés Small Business série 300 et les commutateurs gérés empilables Small Business série 500, car ils sont entrés dans le processus de fin de vie.
Le major de l’équipement réseau a également déclaré être au courant de la disponibilité d’un code d’exploitation de preuve de concept (PoC), mais a noté qu’il n’avait observé aucune preuve d’exploitation malveillante dans la nature.
Les appareils Cisco devenant un vecteur d’attaque lucratif pour les acteurs de la menace, il est recommandé aux utilisateurs d’agir rapidement pour appliquer les correctifs afin d’atténuer les menaces potentielles.