Cisco, kimliği doğrulanmamış saldırganların yama uygulanmamış cihazlarda uzaktan kök ayrıcalıkları elde etmesine olanak tanıyan kritik bir Birlik Bağlantısı güvenlik kusurunu yamaladı.
Unity Connection, e-posta gelen kutuları, web tarayıcıları, Cisco Jabber, Cisco Unified IP Phone, akıllı telefonlar veya yüksek kullanılabilirlik ve yedeklilik desteğine sahip tabletler için tamamen sanallaştırılmış bir mesajlaşma ve sesli posta çözümüdür.
Güvenlik açığı (CVE-2024-20272), yazılımın web tabanlı yönetim arayüzünde bulundu ve saldırganların hedeflenen ve savunmasız sistemlere rastgele dosyalar yükleyerek temel işletim sistemi üzerinde komutlar yürütmesine olanak tanıyor.
Cisco şöyle açıklıyor: “Bu güvenlik açığı, belirli bir API’deki kimlik doğrulama eksikliğinden ve kullanıcı tarafından sağlanan verilerin hatalı şekilde doğrulanmasından kaynaklanıyor. Bir saldırgan, etkilenen sisteme rastgele dosyalar yükleyerek bu güvenlik açığından yararlanabilir.”
“Başarılı bir istismar, saldırganın sistemde kötü amaçlı dosyalar depolamasına, işletim sisteminde rastgele komutlar yürütmesine ve root ayrıcalıklarını yükseltmesine olanak tanıyabilir.”
Neyse ki, Cisco’nun Ürün Güvenliği Olayına Müdahale Ekibi (PSIRT), şirketin bu güvenlik açığına veya vahşi ortamda aktif istismara yönelik kamuya açık bir kavram kanıtına sahip olmadığını söyledi.
| Cisco Unity Bağlantı Sürümü | İlk Sabit Sürüm |
|---|---|
| 12.5 ve öncesi | 12.5.1.19017-4 |
| 14 | 14.0.1.14006-5 |
| 15 | Savunmasız değil |
PoC istismarıyla komut ekleme hatası
Cisco bugün ayrıca birden fazla üründeki on adet orta şiddette güvenlik açığını da yamalayarak saldırganların ayrıcalıkları artırmasına, siteler arası komut dosyası çalıştırma (XSS) saldırıları başlatmasına, komut eklemesine ve daha fazlasına olanak sağladı.
Şirket, Cisco’nun WAP371 Kablosuz Erişim Noktasının web tabanlı yönetim arayüzünde CVE-2024-20287 olarak izlenen bir komut ekleme güvenlik açığı olan bu kusurlardan biri için kavram kanıtlama kodunun çevrimiçi olarak mevcut olduğunu söylüyor.
Ancak saldırganlar, yama uygulanmamış cihazlarda kök ayrıcalıklarıyla rastgele komutlar yürütmek için bu hatadan yararlanabilse de, başarılı bir şekilde yararlanmak için yönetici kimlik bilgileri de gereklidir.
Cisco, Cisco WAP371 cihazının Haziran 2019’da kullanım ömrünün sonuna ulaşması nedeniyle CVE-2024-20287 güvenlik açığını düzeltmek için ürün yazılımı güncellemeleri yayınlamayacağını açıkladı.
Şirket, ağlarında WAP371 cihazı bulunan müşterilere Cisco Business 240AC Erişim Noktasına geçiş yapmalarını tavsiye ediyor.
Ekim ayında Cisco ayrıca, tek bir hafta içinde 50.000’den fazla IOS XE cihazını hacklemek için kullanılan iki sıfır günü (CVE-2023-20198 ve CVE-2023-20273) yamaladı.