Cisco, IOS Yazılımında ve IOS XE Yazılımında, kimliği doğrulanmış bir uzak saldırganın etkilenen sistemlerde uzaktan kod yürütmesine izin verebilecek bir güvenlik açığından yararlanma girişimi konusunda uyarıyor.
Orta şiddetteki güvenlik açığı şu şekilde izlenir: CVE-2023-20109ve CVSS puanı 6,6’dır. Yazılımın GDOI veya G-IKEv2 protokolünün etkin olduğu tüm sürümlerini etkiler.
Şirket, bu eksikliğin “bir grup üyesinin veya anahtar sunucunun idari kontrolüne sahip olan, kimlik doğrulaması yapılmış uzak bir saldırganın, etkilenen bir cihazda rastgele kod yürütmesine veya cihazın çökmesine neden olmasına izin verebileceğini” söyledi.
Ayrıca sorunun, GET VPN özelliğinin Grup Yorumlama Alanı (GDOI) ve G-IKEv2 protokollerindeki niteliklerin yetersiz doğrulanmasının bir sonucu olduğunu ve kurulu bir anahtar sunucunun tehlikeye atılması veya yapılandırmasının değiştirilmesi yoluyla silah haline getirilebileceğini belirtti. bir grup üyesinin saldırgan tarafından kontrol edilen bir anahtar sunucuya işaret etmesi.
Güvenlik açığının, “GET VPN özelliğinden yararlanma girişimi” sonrasında başlatılan dahili bir araştırma ve kaynak kodu denetimi sonrasında keşfedildiği söyleniyor.
Bu açıklama, Cisco’nun Catalyst SD-WAN Manager’da (sürüm 20.3 ila 20.12) bir saldırganın etkilenen bir örneğe erişmesine veya etkilenen sistemde hizmet reddi (DoS) durumuna neden olmasına olanak verebilecek beş kusuru ayrıntılarıyla açıklamasıyla geldi.
- CVE-2023-20252 (CVSS puanı: 9,8) – Yetkisiz Erişim Güvenlik Açığı
- CVE-2023-20253 (CVSS puanı: 8,4) – Yetkisiz Yapılandırma Geri Alma Güvenlik Açığı
- CVE-2023-20034 (CVSS puanı: 7,5) – Bilginin İfşa Edilmesi Güvenlik Açığı
- CVE-2023-20254 (CVSS puanı: 7,2) – Yetkilendirmeyi Atlama Güvenlik Açığı
- CVE-2023-20262 (CVSS puanı: 5,3) – Hizmet Reddi Güvenlik Açığı
Hataların başarıyla kullanılması, tehdit aktörünün isteğe bağlı bir kullanıcı olarak uygulamaya yetkisiz erişim sağlamasına, yetkilendirmeyi atlamasına ve denetleyici yapılandırmalarını geri almasına, etkilenen bir sistemin Elasticsearch veritabanına erişmesine, aynı örnek tarafından yönetilen başka bir kiracıya erişmesine ve Bir çarpışma.
Müşterilerin güvenlik açıklarını gidermek için sabit bir yazılım sürümüne yükseltmeleri önerilir.