Cisco, bazı BroadWorks platformlarında kritik bir kimlik sahteciliği hatası için yamalar duyurdu.
Ağ sağlayıcısı, CVE-2023-20238’in BroadWorks Xtending Services platformu ve BroadWorks uygulama dağıtım platformu tarafından kullanılan tek oturum açma uygulamasını etkilediğini söyledi.
Uyarı belgesinde, hatanın “kimliği doğrulanmamış uzaktaki bir saldırganın, etkilenen bir sisteme erişmek için gereken kimlik bilgilerini taklit etmesine izin verebileceği” belirtildi.
Sahte kimlik bilgileriyle kimlik doğrulaması yapmak için geçerli bir kullanıcı kimliği kullanan bir saldırganın ücret sahtekarlığı gerçekleştirebileceği veya yönetici düzeyine kadar “sahte hesabın ayrıcalık düzeyinde komutlar yürütebileceği” belirtildi.
Bu düzeyde, “saldırgan gizli bilgileri görüntüleme, müşteri ayarlarını değiştirme veya diğer kullanıcıların ayarlarını değiştirme yeteneğine sahip olacaktır.”
İki BroadWorks platformu, aşağıdaki uygulamalardan herhangi birinin etkin olması durumunda etkilenir: AuthenticationService, BWCallCenter, BWReceptionist, CustomMediaFilesRetrieval, ModeratorClientApp, PublicECLQuery, PublicReporting, UCAPI, Xsi-Actions, Xsi-Events, Xsi-MMTel veya Xsi-VTR.” Cisco dedi.
BroadWorks Uygulama Teslimatı ve Xtished Services sürüm 22 veya altı kullanıcılarının sabit bir sürüme geçiş yapması gerekir; sürüm 23 şubelerindeki kullanıcılar için bir yama mevcuttur.
Ayrı bir danışma belgesinde Cisco ayrıca Kimlik Hizmetleri Motorunda (ISE), CVE-2023-20243 yüksek önemde bir hizmet reddi hatasını duyurdu.
Bir dizi ağ erişim cihazında bulunan ISE’nin RADIUS mesaj işlemcisi hazırlanmış bir paketle çökebilir.
Cisco’nun son döngüsünde daha az ciddi olan dört hata daha düzeltildi.