Cisco’nun Nexus Dashboard Fabric Controller’ında (NDFC), bilgisayar korsanlarının etkilenen sistemlerde rastgele komutlar yürütmesine olanak tanıyan kritik bir güvenlik açığı keşfedildi.
CVE-2024-20432 olarak tanımlanan bu kusur, ilk olarak 2 Ekim 2024’te yayımlandı. CVSS puanının 9,9 olması, etkisinin ciddi olduğunu gösteriyor.
Güvenlik Açığı Ayrıntıları
Güvenlik açığı Cisco NDFC’nin REST API’sinde ve web kullanıcı arayüzünde bulunuyor. Kimliği doğrulanmış, düşük ayrıcalıklı uzak bir saldırganın komut ekleme saldırısı gerçekleştirmesine olanak sağlayabilir.
Bunun nedeni, uygunsuz kullanıcı yetkilendirmesi ve komut argümanlarının yetersiz doğrulanmasıdır.
ANY.RUN’un Yeni Güvenli Tarama Aracını Kullanarak Şüpheli Bağlantıları Analiz Edin: Ücretsiz Deneyin
Saldırganlar, bu kusurdan yararlanarak, ağ yöneticisi ayrıcalıklarına sahip Cisco NDFC tarafından yönetilen bir cihazın komut satırı arayüzünde (CLI) rastgele komutlar yürütebilir.
Bu güvenlik açığı, depolama alanı ağı (SAN) denetleyici dağıtımı için yapılandırıldığında Cisco NDFC’yi etkilemez. Ancak diğer uygulamalar risk altında olmaya devam ediyor.
Cisco, bu güvenlik açığına yönelik herhangi bir geçici çözüm olmadığını doğruladı. Şirket, sorunu çözmek için yazılım güncellemeleri yayınladı ve müşterilerin sistemlerini derhal yükseltmelerini istedi.
Etkilenen kullanıcılar, Cisco ile hizmet sözleşmeleri olması durumunda bu güncellemeleri her zamanki kanallarından alabilirler.
Etkilenen ve Etkilenmeyen Ürünler
Güvenlik açığı Cisco NDFC’yi etkiler ancak Nexus Dashboard Insights’ı veya Nexus Dashboard Orchestrator’ı (NDO) etkilemez.
Kullanıcıların, savunmasız yazılım sürümleri hakkında ayrıntılı bilgi için danışma belgesini incelemeleri ve mümkün olan en kısa sürede sabit bir sürüme yükseltme yapmaları önerilir.
Cisco, tüm kullanıcılara düzenli olarak güvenlik önerilerine başvurmalarını ve sistemlerinin desteklenen yazılım sürümlerini çalıştırdığından emin olmalarını tavsiye eder.
Küçük İşletmelerin Gelişmiş Siber Tehditlere Karşı Nasıl Korunacağı Konusunda Ücretsiz Web Semineri -> Ücretsiz Kayıt