Η Cisco παρέχει κρίσιμες επιδιορθώσεις για τηλέφωνα IP 

Η Cisco έχει δημοσιεύσει επιδιορθώσεις λογισμικού για πολλαπλές εκδόσεις firmware που εκτελούνται σε ορισμένα από τα τηλέφωνα IP της. Η συμβουλή της εταιρείας καλύπτει δύο ευπάθειες που επηρεάζουν έξι προϊόντα. 

Η πρώτη ευπάθεια είναι το CVE-2023-20078 (βαθμολογία CVSS 9,8) και επηρεάζει τα τηλέφωνα των σειρών 6800, 7800 και 8800, που εκτελούν το firmware πολλαπλών πλατφορμών της εταιρείας. 

Η ανεπαρκής επικύρωση των εισροών που παρέχονται από τον χρήστη επιτρέπει σε έναν εισβολέα να στείλει ένα δημιουργημένο αίτημα στη διεπαφή διαχείρισης που βασίζεται στον ιστό του τηλεφώνου. Μια επιτυχημένη εκμετάλλευση επιτρέπει σε έναν απομακρυσμένο εισβολέα, χωρίς έλεγχο ταυτότητας, να εκτελεί αυθαίρετες εντολές λειτουργικού συστήματος, με δικαιώματα root. Η ανεπαρκής επικύρωση εισόδου στη διεπαφή διαχείρισης που βασίζεται στον ιστό, επιτρέπει σε έναν απομακρυσμένο εισβολέα χωρίς έλεγχο ταυτότητας να αναγκάσει μια συσκευή να φορτώσει ξανά, οδηγώντας σε άρνηση υπηρεσίας. 

Το CVE-2023-20079 (βαθμολογία CVSS 7,5) επηρεάζει τα ίδια τηλέφωνα, καθώς και το τηλέφωνο συνδιάσκεψης United IP των σειρών 7900, 8831 και 8831 με firmware πολλαπλών πλατφορμών. 

Τα τρωτά σημεία επηρεάζουν τις εκδόσεις firmware πολλαπλών πλατφορμών πριν από την 11.3.7SR1. Τα επηρεαζόμενα, ωστόσο, τηλέφωνα διάσκεψης United IP έχουν ήδη λήξει και δεν θα επιδιορθωθούν. 

Αξίζει να σημειωθεί πως τα τρωτά σημεία ανακαλύφθηκαν κατά τη διάρκεια δοκιμών εσωτερικής ασφάλειας. 

Τεύχος 245