Cisco a publi\u00e9 mercredi des correctifs de s\u00e9curit\u00e9 pour 45 vuln\u00e9rabilit\u00e9s affectant une vari\u00e9t\u00e9 de produits, dont certains pourraient \u00eatre exploit\u00e9s pour ex\u00e9cuter des actions arbitraires avec des autorisations \u00e9lev\u00e9es sur les syst\u00e8mes concern\u00e9s.<\/p>\n
Sur les 45 bogues, une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 est class\u00e9e critique, trois sont class\u00e9es \u00e9lev\u00e9es et 41 sont class\u00e9es moyennement graves. <\/p>\n
La le plus grave des probl\u00e8mes<\/a> sont CVE-2022-20857, CVE-2022-20858 et CVE-2022-20861, qui ont un impact sur le tableau de bord Cisco Nexus pour les centres de donn\u00e9es et les infrastructures de r\u00e9seau cloud et pourraient permettre \u00e0 un “attaquant distant non authentifi\u00e9 d’ex\u00e9cuter des commandes arbitraires, de lire ou de t\u00e9l\u00e9charger une image de conteneur fichiers ou effectuer une attaque de falsification de requ\u00eate intersite.\u00a0\u00bb<\/p>\n Les trois vuln\u00e9rabilit\u00e9s, identifi\u00e9es lors des tests de s\u00e9curit\u00e9 internes, affectent Cisco Nexus Dashboard 1.1 et versions ult\u00e9rieures, avec des correctifs disponibles dans la version 2.2(1e).<\/p>\n Une autre faille de gravit\u00e9 \u00e9lev\u00e9e concerne une vuln\u00e9rabilit\u00e9 dans l’impl\u00e9mentation SSL\/TLS de Cisco Nexus Dashboard (CVE-2022-20860, score CVSS\u00a0: 7,4) qui pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 de modifier les communications avec les contr\u00f4leurs associ\u00e9s ou d’afficher des informations sensibles.<\/p>\n “Un attaquant pourrait exploiter cette vuln\u00e9rabilit\u00e9 en utilisant des techniques de l’homme du milieu pour intercepter le trafic entre l’appareil affect\u00e9 et les contr\u00f4leurs, puis en utilisant un certificat sp\u00e9cialement con\u00e7u pour se faire passer pour les contr\u00f4leurs”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans un avis.<\/p>\n “Un exploit r\u00e9ussi pourrait permettre \u00e0 l’attaquant de modifier les communications entre les appareils ou d’afficher des informations sensibles, y compris les informations d’identification de l’administrateur pour ces contr\u00f4leurs.”<\/p>\n Un autre ensemble de cinq lacunes dans les produits Cisco Nexus Dashboard concerne un m\u00e9lange de quatre failles d’\u00e9l\u00e9vation de privil\u00e8ges<\/a> Et un vuln\u00e9rabilit\u00e9 d’\u00e9criture de fichier arbitraire<\/a> qui pourrait permettre \u00e0 un attaquant authentifi\u00e9 d’obtenir des autorisations root et d’\u00e9crire des fichiers arbitraires sur les appareils.<\/p>\n Ailleurs r\u00e9solus par Cisco sont 35 vuln\u00e9rabilit\u00e9s<\/a> dans ses routeurs Small Business RV110W, RV130, RV130W et RV215W qui pourraient \u00e9quiper un adversaire d\u00e9j\u00e0 en possession d’informations d’identification d’administrateur valides avec des capacit\u00e9s pour ex\u00e9cuter du code arbitraire ou provoquer une condition de d\u00e9ni de service (DoS) en envoyant une demande sp\u00e9cialement con\u00e7ue \u00e0 l’interface de gestion bas\u00e9e sur le Web.<\/p>\n Les correctifs sont compl\u00e9t\u00e9s par un correctif pour une vuln\u00e9rabilit\u00e9 de script intersite (XSS) dans l’interface de gestion Web de Cisco IoT Control Center qui, si elle est correctement militaris\u00e9e, pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 de lancer une attaque XSS contre un utilisateur. .<\/p>\n “Un attaquant pourrait exploiter cette vuln\u00e9rabilit\u00e9 en persuadant un utilisateur de l’interface de cliquer sur un lien sp\u00e9cialement con\u00e7u”, a d\u00e9clar\u00e9 Cisco. a dit<\/a>. “Un exploit r\u00e9ussi pourrait permettre \u00e0 l’attaquant d’ex\u00e9cuter un code de script arbitraire dans le contexte de l’interface affect\u00e9e ou d’acc\u00e9der \u00e0 des informations sensibles bas\u00e9es sur un navigateur.”<\/p>\n Bien qu’aucune des vuln\u00e9rabilit\u00e9s susmentionn\u00e9es ne soit utilis\u00e9e de mani\u00e8re malveillante dans des attaques r\u00e9elles, il est imp\u00e9ratif que les utilisateurs des appliances concern\u00e9es agissent rapidement pour appliquer les correctifs.<\/p>\n Les mises \u00e0 jour sont \u00e9galement arriv\u00e9es moins de deux semaines apr\u00e8s que Cisco a d\u00e9ploy\u00e9 des correctifs pour 10 failles de s\u00e9curit\u00e9, y compris une vuln\u00e9rabilit\u00e9 d’\u00e9crasement de fichier critique arbitraire dans Cisco Expressway Series et Cisco TelePresence Video Communication Server (CVE-2022-20812) qui pourrait conduire \u00e0 des attaques de travers\u00e9e de chemin absolu. .<\/p>\n <\/p>\n<\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n