Η Cisco έχει διορθώσει αρκετές ευπάθειες που επηρεάζουν τις πύλες συνεργασίας της σειράς Expressway, δύο από τις οποίες χαρακτηρίζονται ως κρίσιμης σοβαρότητας και εκθέτουν ευάλωτες συσκευές σε επιθέσεις πλαστογραφίας αιτημάτων μεταξύ τοποθεσιών (CSRF).
Οι εισβολείς μπορούν να εκμεταλλευτούν ευπάθειες CSRF για να εξαπατήσουν τους πιστοποιημένους χρήστες να κάνουν κλικ σε κακόβουλους συνδέσμους ή να επισκέπτονται ιστοσελίδες που ελέγχονται από εισβολείς για να εκτελέσουν ανεπιθύμητες ενέργειες, όπως η προσθήκη νέων λογαριασμών χρηστών, η εκτέλεση αυθαίρετου κώδικα, η απόκτηση δικαιωμάτων διαχειριστή και άλλα.
Οι μη επαληθευμένοι εισβολείς μπορούν να εκμεταλλευτούν τις δύο κρίσιμες ευπάθειες CSRF που διορθώθηκαν σήμερα (CVE-2024-20252 και CVE-2024-20254) για να στοχεύσουν εξ αποστάσεως μη επιδιορθωμένες πύλες Expressway.
“Ένας εισβολέας θα μπορούσε να εκμεταλλευτεί αυτά τα τρωτά σημεία πείθοντας έναν χρήστη του API να ακολουθήσει έναν επεξεργασμένο σύνδεσμο. Μια επιτυχημένη εκμετάλλευση θα μπορούσε να επιτρέψει στον εισβολέα να εκτελεί αυθαίρετες ενέργειες με το επίπεδο προνομίων του επηρεαζόμενου χρήστη,” Cisco
προειδοποίησε
.
“Εάν ο επηρεαζόμενος χρήστης έχει δικαιώματα διαχειριστή, αυτές οι ενέργειες θα μπορούσαν να περιλαμβάνουν την τροποποίηση της διαμόρφωσης του συστήματος και τη δημιουργία νέων προνομιακών λογαριασμών.”
Ένα τρίτο σφάλμα ασφαλείας CSRF που παρακολουθείται ως CVE-2024-20255 μπορεί επίσης να χρησιμοποιηθεί για την αλλαγή της διαμόρφωσης των ευάλωτων συστημάτων και την ενεργοποίηση των συνθηκών άρνησης υπηρεσίας.
Τα CVE-2024-20254 και CVE-2024-20255 επηρεάζουν τις συσκευές Cisco Expressway Series με προεπιλεγμένες διαμορφώσεις, ενώ το CVE-2024-20252 μπορεί να χρησιμοποιηθεί μόνο για επίθεση σε πύλες όπου έχει ενεργοποιηθεί η δυνατότητα API της βάσης δεδομένων συμπλέγματος (CDB).
| Κυκλοφορία της σειράς Cisco Expressway | Πρώτη Σταθερή Έκδοση |
|---|---|
| Νωρίτερα από 14.0 | Μετεγκατάσταση σε σταθερή έκδοση. |
| 14.0 | 14.3.4 |
| 15.0 | Όχι ευάλωτο. |
Η εταιρεία λέει ότι δεν θα κυκλοφορήσει ενημερώσεις ασφαλείας για την πύλη Cisco TelePresence Video Communication Server (VCS) για την αντιμετώπιση των τριών ευπαθειών, καθώς είναι
έφτασε στην ημερομηνία λήξης της υποστήριξης
στις 31 Δεκεμβρίου 2023.
Η Ομάδα Αντιμετώπισης Περιστατικών Ασφάλειας Προϊόντων (PSIRT) της Cisco δεν βρήκε κανένα αποδεικτικό δημόσιας απόδειξης για εκμεταλλεύσεις ή απόπειρες εκμετάλλευσης που στοχεύουν αυτά τα τρωτά σημεία.
Τον περασμένο μήνα, η Cisco προειδοποίησε για ένα ελάττωμα κρίσιμης σοβαρότητας στην εκτέλεση απομακρυσμένου κώδικα που επηρεάζει τα προϊόντα Unified Communications Manager (CM) και Contact Center Solutions μετά την επιδιόρθωση ενός σοβαρού σφάλματος Unity Connection που θα μπορούσε να επιτρέψει σε μη επαληθευμένους εισβολείς να αποκτήσουν δικαιώματα root από απόσταση.
Τον Οκτώβριο, η Cisco κυκλοφόρησε επίσης ενημερώσεις κώδικα ασφαλείας για δύο ημέρες μηδέν που χρησιμοποιήθηκαν για να παραβιάσουν περισσότερες από 50.000 συσκευές IOS XE μέσα σε μια εβδομάδα.
Οι χάκερ εκμεταλλεύτηκαν ένα δεύτερο IOS και IOS XE zero-day πέρυσι σε επιθέσεις, ένα σφάλμα που τους επέτρεψε να εκτελέσουν αυθαίρετο κώδικα, να αποκτήσουν πλήρη έλεγχο ευάλωτων συστημάτων και να ενεργοποιήσουν συνθήκες άρνησης υπηρεσίας (DoS).
VIA:
bleepingcomputer.com
