Cisco a d\u00e9ploy\u00e9 mercredi mises \u00e0 jour de s\u00e9curit\u00e9<\/a> pour corriger une faille critique affectant ses produits IP Phone 6800, 7800, 7900 et 8800 Series.<\/p>\n La vuln\u00e9rabilit\u00e9, identifi\u00e9e comme CVE-2023-20078, est not\u00e9e 9,8 sur 10 sur le syst\u00e8me de notation CVSS et est d\u00e9crite comme un bogue d’injection de commande dans l’interface de gestion Web r\u00e9sultant d’une validation insuffisante des entr\u00e9es fournies par l’utilisateur.<\/p>\n L’exploitation r\u00e9ussie du bogue pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 d’injecter des commandes arbitraires qui sont ex\u00e9cut\u00e9es avec les privil\u00e8ges les plus \u00e9lev\u00e9s sur le syst\u00e8me d’exploitation sous-jacent.<\/p>\n “Un attaquant pourrait exploiter cette vuln\u00e9rabilit\u00e9 en envoyant une requ\u00eate sp\u00e9cialement con\u00e7ue \u00e0 l’interface de gestion Web”, a d\u00e9clar\u00e9 Cisco. a dit<\/a> dans une alerte publi\u00e9e le 1er mars 2023.<\/p>\n La soci\u00e9t\u00e9 a \u00e9galement corrig\u00e9 une vuln\u00e9rabilit\u00e9 de d\u00e9ni de service (DoS) de haute gravit\u00e9 affectant le m\u00eame ensemble d’appareils, ainsi que les t\u00e9l\u00e9phones Cisco Unified IP Conference Phone 8831 et Unified IP Phone 7900 Series.<\/p>\n CVE-2023-20079 (score CVSS\u00a0: 7,5), \u00e9galement le r\u00e9sultat d’une validation insuffisante des entr\u00e9es fournies par l’utilisateur dans l’interface de gestion Web, pourrait \u00eatre abus\u00e9 par un adversaire pour provoquer une condition DoS.<\/p>\n Alors que Cisco a publi\u00e9 la version 11.3.7SR1 du micrologiciel multiplateforme Cisco pour r\u00e9soudre CVE-2023-20078, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’elle ne pr\u00e9voyait pas de corriger CVE-2023-20079, car les deux mod\u00e8les de t\u00e9l\u00e9phones de conf\u00e9rence IP unifi\u00e9s sont entr\u00e9s en fin de vie ( fin de vie).<\/p>\n La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’elle n’\u00e9tait au courant d’aucune tentative d’exploitation malveillante ciblant la faille. Il a \u00e9galement d\u00e9clar\u00e9 que les failles avaient \u00e9t\u00e9 d\u00e9couvertes lors de tests de s\u00e9curit\u00e9 internes.<\/p>\n L’avis intervient alors qu’Aruba Networks, une filiale de Hewlett Packard Enterprise, a publi\u00e9 une mise \u00e0 jour d’ArubaOS pour rem\u00e9dier<\/a> plusieurs injections de commandes non authentifi\u00e9es et failles de d\u00e9bordement de tampon bas\u00e9es sur la pile (de CVE-2023-22747 \u00e0 CVE-2023-22752, scores CVSS\u00a0: 9,8) pouvant entra\u00eener l’ex\u00e9cution de code.<\/p>\n <\/p>\n