Cisco güvenlik açıkları için bilgilendirme yaptı. Kritik anahtar güvenlik açıkları için istismar kodunun halka açık olduğu belirtildi. Cisco, küçük işletme ağ anahtarlarını etkileyen dokuz güvenlik açığı için yamalar yayınladı ve istismar kodunun tespit edildiğini söyledi.
Ağ anahtarlarını etkileyen dokuz güvenlik açığı için yamalar yayınladı
Güvenlik açıkları, Cisco Small Business Series anahtarlarının kullanıcı arabiriminde (UI) bulundu ve saldırganlar tarafından kurbanın anahtarında rastgele kod yürütmek veya bir işletme ağında hizmet reddine (DoS) neden olmak için kullanılabiliyor.
Dokuz güvenlik açığından dördü, CVSSv3 önem ölçeğinde “kritik” olarak derecelendirildi ve her biri maksimuma yakın 9,8 puan aldı. Kalan kusurlar 7,5 ile 8,6 arasında puan aldı.
CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 ve CVE-2023-20189 olarak izlenen kritik kusurlar, anahtarlar için web tabanlı kullanıcı arabirimi aracılığıyla gönderilen isteklerin yanlış doğrulanmasından kaynaklanır. bir saldırganın özel istekler aracılığıyla kötü amaçlı kod çalıştırmasına izin veriyor. Beş yüksek riskli kusur da aynı kullanıcı arabirimi sorunundan kaynaklanır ve tek tek cihazların bir DoS’a tabi olmasına izin veriyor
Potansiyel güvenlik riski göz önüne alındığında ve bu açıklardan yararlanma kodunun çevrimiçi olarak mevcut olması nedeniyle, etkilenen kuruluşların düzeltmeleri mümkün olan en kısa sürede yüklemeleri öneriliyor. Güvenlik açıklarını azaltabilecek bilinen bir geçici çözüm yok.
Cisco, başarılı saldırıların halihazırda gerçekleşip gerçekleşmediğini belirtmedi. Cisco’nun bir dizi Akıllı Anahtarı, Seri Yönetimli Anahtarı ve Seri Yığınlanabilir Anahtarı, kusurlardan etkilenir ve şirketin resmi danışma belgesinde tam bir liste bulunur. 220 ve Business 220 Serisi Akıllı Anahtarlarının etkilenmediği tespit edildi.
Cisco, Küçük İşletme 200 Serisi Akıllı Anahtarlar, Küçük İşletme 300 Serisi Yönetilen Anahtarlar veya Küçük İşletme 500 Serisi Yığınlanabilir Yönetilen Anahtarlar için güncelleme yayınlamayacağını çünkü bu ürünlerin tümünün kullanım ömürleri (EOL) sona ermiştir ve artık desteklenmemektedir.
Cisco küçük işletme anahtarları, ağ ve kurumsal siber güvenlik firmasının Thrangycat olarak bilinen bir kusurla uğraştığı bir yıl olan 2019’da bulunan üç büyük güvenlik açığıyla geçmişte güvenlik sorunlarıyla karşı karşıya kaldı. Başka bir kusurla birleştiğinde Trangycat, Cisco’nun TAm güvenlik kontrollerini atlamak ve bir yönlendiricinin kontrolünü uzaktan ele geçirmek veya potansiyel olarak tüm ağı tehlikeye atmak için kullanılabilir.
