Cisco’dan gelen bir uyarıya göre, bazı Cisco Küçük İşletme Serisi Anahtarların web tabanlı kullanıcı arabirimi birden fazla güvenlik açığı içeriyor.
Cisco, genel istismar koduyla dört kritik uzaktan kod yürütme kusurunu listeler. 9,8/10’luk CVSS taban puanları ile dört güvenlik sorununun tümü mümkün olan en yüksek önem derecelerini elde etti.
Güvenliği ihlal edilmiş cihazlarda başarılı bir istismar, kimliği doğrulanmamış saldırganların root erişimiyle rasgele kod çalıştırmasına olanak tanır.
Cisco, “Belirli Cisco Küçük İşletme Serisi Anahtarların web tabanlı kullanıcı arabirimindeki birden çok güvenlik açığı, kimliği doğrulanmamış, uzak bir saldırganın hizmet reddi (DoS) durumuna neden olmasına veya etkilenen bir cihazda kök ayrıcalıklarıyla rastgele kod yürütmesine izin verebilir”, Cisco.
CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 ve CVE-2023-20189 olarak izlenen kusurlar, hedeflenen anahtarların web arayüzlerine yapılan isteklerin uygunsuz şekilde doğrulanmasından kaynaklanmaktadır.
Özellikle web tabanlı kullanıcı arabirimi, bir saldırgan tarafından özel hazırlanmış bir istek göndermek ve bu güvenlik açığından yararlanmak için kullanılabilir.
“Güvenlik açıkları birbirine bağlı değil. Güvenlik açıklarından birinin kullanılması, başka bir güvenlik açığından yararlanılması için gerekli değildir.” Cisco.
“Ayrıca, güvenlik açıklarından birinden etkilenen bir yazılım sürümü, diğer güvenlik açıklarından etkilenmeyebilir.”
Savunmasız Ürünler
Aşağıdaki Cisco Small Business Anahtarları etkilenir:
- 250 Serisi Akıllı Anahtarlar
- 350 Serisi Yönetilen Switch’ler
- 350X Serisi İstiflenebilir Yönetilen Switch’ler
- 550X Serisi İstiflenebilir Yönetilen Switch’ler
- Business 250 Serisi Akıllı Anahtarlar
- Business 350 Serisi Yönetilen Switch’ler
- Küçük İşletme 200 Serisi Akıllı Anahtarlar
- Küçük İşletme 300 Serisi Yönetilen Anahtarlar
- Küçük İşletme 500 Serisi İstiflenebilir Yönetilen Anahtarlar
Aşağıdaki Cisco ürünleri bu güvenlik açıklarından etkilenmez:
- 220 Serisi Akıllı Anahtarlar
- Business 220 Serisi Akıllı Anahtarlar
Sabit Yazılım Sürümü
250 Serisi Akıllı Anahtarlar, 350 Serisi Yönetilen Anahtarlar, 350X Serisi Yığınlanabilir Yönetilen Anahtarlar ve 550X Serisi Yığınlanabilir Yönetilen Anahtarlar
Business 250 Serisi Akıllı Anahtarlar ve Business 350 Serisi Yönetilen Anahtarlar
Cisco, 200, 300 ve 500 Serisi Küçük İşletme Anahtarlarının kullanım ömrünün sonuna gelmiş olması nedeniyle, bu cihazların yazılımlarına yama uygulanmayacağını iddia etmektedir.
Cisco Ürün Güvenliği Olay Müdahale Ekibine (PSIRT) göre, bu güvenlik sorunları için bir kavram kanıtı saldırı kodu mevcuttur ve motive olmuş tehdit aktörleri kendi saldırılarını geliştirirse aktif istismarla sonuçlanabilir.
Cisco, müşterilere belirtildiği gibi ilgili yamalı yazılım sürümüne güncelleme yapmalarını tavsiye etti.
Güvenlik Düzeltme Eki’ni Sisteminize Uygulamakta Zorlanıyor Musunuz? –
All-in-One Patch Manager Plus’ı Deneyin