-
06/07/2013
-
797
-
1.308 bài viết
Cisco phát hành bản vá cho TelePresence, RoomOS và Umbrella VA
Cisco vừa phát hành các bản cập nhật vá ba lỗ hổng có mức độ nghiêm trọng cao trong các sản phẩm có thể bị khai thác, dẫn tới từ chối dịch vụ (DoS) và kiểm soát các hệ thống bị ảnh hưởng.
Lỗ hổng đầu tiên trong số ba lỗ hổng, CVE-2022-20783 (điểm CVSS: 7,5), ảnh hưởng đến Phần mềm Cisco TelePresence Collaboration Endpoint (CE) và Phần mềm Cisco RoomOS, bắt nguồn từ việc thiếu xác thực đầu vào thích hợp, cho phép kẻ tấn công từ xa, không được xác thực gửi các yêu cầu độc hại tới các thiết bị.
"Khai thác thành công có thể cho phép kẻ tấn công khiến thiết bị bị ảnh hưởng khởi động lại cách bình thường hoặc khởi động lại ở chế độ bảo trì, điều này có thể dẫn đến tình trạng DoS trên thiết bị", hãng lưu ý trong một khuyến nghị.
Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) có công phát hiện và báo cáo lỗ hổng. Sự cố đã được giải quyết trong phiên bản Phần mềm Cisco TelePresence CE 9.15.10.8 và 10.11.2.2.
CVE-2022-20773 (điểm CVSS: 7,5), lỗ hổng thứ hai được vá, liên quan đến SSH host key có trong Cisco Umbrella Virtual Appliance (VA) chạy phiên bản phần mềm trước 3.3.2, có khả năng cho phép kẻ tấn công thực hiện tấn công man-in-the-middle (MitM) trên kết nối SSH và chiếm đoạt thông tin đăng nhập của quản trị viên.
Lỗ hổng có mức độ nghiêm trọng cao thứ ba là trường hợp leo thang đặc quyền trong Cisco Virtualized Infrastructure Manager (CVE-2022-20732, điểm CVSS: 7,8) tạo điều kiện cho kẻ tấn công đã xác thực leo thang đặc quyền trên thiết bị. Lỗ hổng đã được vá trong phiên bản 4.2.2 của phần mềm.
"Khai thác thành công có thể cho phép kẻ tấn công có được thông tin đăng nhập cơ sở dữ liệu nội bộ, xem và sửa đổi nội dung của cơ sở dữ liệu. Kẻ tấn công có thể sử dụng quyền truy cập này vào cơ sở dữ liệu để nâng cao các đặc quyền trên thiết bị bị ảnh hưởng", công ty cho biết.
Cisco cũng vá 10 lỗ hổng có mức độ nghiêm trọng trung bình trong danh mục sản phẩm của mình, bao gồm Webex Meeting, Unified Communications Products, Umbrella Secure Web Gateway và IOS XR Software.
Lỗ hổng đầu tiên trong số ba lỗ hổng, CVE-2022-20783 (điểm CVSS: 7,5), ảnh hưởng đến Phần mềm Cisco TelePresence Collaboration Endpoint (CE) và Phần mềm Cisco RoomOS, bắt nguồn từ việc thiếu xác thực đầu vào thích hợp, cho phép kẻ tấn công từ xa, không được xác thực gửi các yêu cầu độc hại tới các thiết bị.
"Khai thác thành công có thể cho phép kẻ tấn công khiến thiết bị bị ảnh hưởng khởi động lại cách bình thường hoặc khởi động lại ở chế độ bảo trì, điều này có thể dẫn đến tình trạng DoS trên thiết bị", hãng lưu ý trong một khuyến nghị.
Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) có công phát hiện và báo cáo lỗ hổng. Sự cố đã được giải quyết trong phiên bản Phần mềm Cisco TelePresence CE 9.15.10.8 và 10.11.2.2.
CVE-2022-20773 (điểm CVSS: 7,5), lỗ hổng thứ hai được vá, liên quan đến SSH host key có trong Cisco Umbrella Virtual Appliance (VA) chạy phiên bản phần mềm trước 3.3.2, có khả năng cho phép kẻ tấn công thực hiện tấn công man-in-the-middle (MitM) trên kết nối SSH và chiếm đoạt thông tin đăng nhập của quản trị viên.
Lỗ hổng có mức độ nghiêm trọng cao thứ ba là trường hợp leo thang đặc quyền trong Cisco Virtualized Infrastructure Manager (CVE-2022-20732, điểm CVSS: 7,8) tạo điều kiện cho kẻ tấn công đã xác thực leo thang đặc quyền trên thiết bị. Lỗ hổng đã được vá trong phiên bản 4.2.2 của phần mềm.
"Khai thác thành công có thể cho phép kẻ tấn công có được thông tin đăng nhập cơ sở dữ liệu nội bộ, xem và sửa đổi nội dung của cơ sở dữ liệu. Kẻ tấn công có thể sử dụng quyền truy cập này vào cơ sở dữ liệu để nâng cao các đặc quyền trên thiết bị bị ảnh hưởng", công ty cho biết.
Cisco cũng vá 10 lỗ hổng có mức độ nghiêm trọng trung bình trong danh mục sản phẩm của mình, bao gồm Webex Meeting, Unified Communications Products, Umbrella Secure Web Gateway và IOS XR Software.
Nguồn: Thehackernews
Chỉnh sửa lần cuối bởi người điều hành: