Cisco, çeşitli küçük işletme anahtar modellerinde 10 güvenlik açığıyla halka açıldı ve bunlardan dördü kritik olarak derecelendirildi ve hatalar için kavram kanıtı istismar kodunun farkında olduğunu söyledi.
Güvenlik açıkları, kimliği doğrulanmamış, uzaktaki bir saldırganın “etkilenen bir cihazda kök ayrıcalıklarıyla rasgele kod yürütmesine” veya hizmet reddine neden olmasına izin verir.
Cisco’nun danışma belgesi, “Bu güvenlik açıkları, web arayüzüne gönderilen isteklerin uygun olmayan şekilde doğrulanmasından kaynaklanmaktadır.”
Hatalar, anahtarların donanım yazılımı sürümü 2.5.9.15 ve önceki sürümlerindedir (250 serisi akıllı anahtarlar, 350 serisi yönetilen anahtarlar, 350X serisi yığınlanabilir yönetilen anahtarlar ve 550X serisi yığınlanabilir yönetilen anahtarlarda); ve 3.3.0.15 ve öncesi sürümleri (Business 250 serisi akıllı anahtarlarda ve Business 350 serisi yönetilen anahtarlarda).
Bu cihazlar için sabit üretici yazılımı mevcuttur, ancak Small Business 200, 300 ve 500 serisi anahtarlar kullanım ömrünün sonuna girmiştir ve düzeltilmeyecektir.
10 güvenlik açığından ikisi hariç tümü bir tür arabellek taşmasıdır.
Kritik güvenlik açıkları CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 ve CVE-2023-20189’dur (9,8 CVSS puanı ile).
CVE-2023-20158, hizmet reddi güvenlik açığıdır, web yönetimi arayüzüne hazırlanmış bir istek gönderilerek tetiklenir ve yüksek olarak derecelendirilmiştir (CVSS puanı 8,6).
Ek olarak, yüksek dereceli (CVSS puanı 7,5) CVE-2023-20162, kimliği doğrulanmamış bir uzak saldırganın yapılandırma verilerini okumasına olanak tanır.