HABER ÖZETİ
Cisco, müşterilerini etkileyen bir güvenlik açığı konusunda uyarıyor Uyarlanabilir Güvenlik Cihazı (ASA) tehdit aktörleri tarafından aktif olarak istismar ediliyor.
CVE-2014-2120 olarak izlenen ve on yıllık olan hata, ASA’nın WebVPN oturum açma sayfasında, kimliği doğrulanmamış bir uzak saldırganın siteler arası komut dosyası çalıştırma (XSS) saldırısı gerçekleştirebilmesini sağlayan yetersiz giriş doğrulamasını içeriyor.
2014 yılında Cisco, “güvenlik açığının şunlardan kaynaklandığını” belirtti: Bir parametrenin yetersiz giriş doğrulaması,” Saldırganın, kullanıcıyı kötü amaçlı bir bağlantıya tıklamaya ikna ederek bu güvenlik açığından yararlanabileceğini de sözlerine ekledi.
Cisco şimdi ise Kasım 2024’te kullanım dışı girişimlerden haberdar olduğunu bildiriyor ve müşterilerin güvenlik açığını azaltmak için sabit bir yazılım sürümüne yükseltme yapmalarını tavsiye ediyor. Bu kusurun geçici çözümü yoktur.
Opus Security’nin CEO’su ve kurucu ortağı Meny Har, “ASA WebVPN hatası gibi on yıllık güvenlik açıklarından yararlanmak, siber güvenlikte kalıcı bir zorluğun altını çiziyor; eski güvenlik açıkları, kuruluşların bugün karşı karşıya kaldığı çok sayıda güvenlik sorunu nedeniyle sıklıkla ele alınmıyor.” dedi. Dark Reading’e e-postayla gönderilen bir açıklamada. “Etkili önceliklendirme çerçeveleri olmadan, kritik güvenlik açıkları çatlaklardan kayabilir.”