Blog

Zaifliklar superuser imtiyozlari bilan kod yoki buyruqlarni bajarishga imkon berdi.

Cisco Cisco SD-WAN yechimining vContainer komponentidagi muhim zaiflikni tuzatdi, bu masofaviy hujumchiga tizimning ishdan chiqishiga va root imtiyozlari bilan ixtiyoriy kodni bajarishga imkon berishi mumkin. Muammo (CVE-2019-1651) chegaralarni noto’g’ri tekshirish tufayli yuzaga kelgan. Zaiflikdan zararli faylni zaif vContainer nusxasiga yuborish orqali foydalanish mumkin. Muammo 18.4.0 dan oldingi SD-WAN versiyalaridagi Cisco vSmart kontrollerlariga ta’sir qiladi. Ushbu zaiflikning hujumchilar tomonidan foydalanilgan holatlari aniqlanmagan.

Cisco muhandislari SD-WAN yechimida yana ikkita zaiflikni aniqladilar. Birinchisi (CVE-2019-1647) vakolatli foydalanuvchiga autentifikatsiyani chetlab o’tish, vSmart konteynerlariga ruxsatsiz kirish huquqini olish va muhim fayllarni o’g’irlash yoki o’zgartirish imkonini beradi. Avvalgi muammoda bo’lgani kabi, bu zaiflik 18.4.0 dan oldingi SD-WAN versiyalaridagi Cisco vSmart kontrollerlariga ta’sir qiladi.

Ikkinchi zaiflik (CVE-2019-1648) imtiyozlarni superuser darajasiga ko’tarish imkonini beradi. Quyidagi yechimlar zaif: vBond; vEdge 100, 1000, 2000 va 5000; vEdge bulut platformasi; vManage; va vSmart. Ikkala zaiflik ham SD-WAN 18.4.0 da tuzatilgan.

Cisco Webex vebinar platformasida muhim zaiflik aniqlandi. Muammo Webex Teams mijozida joriy foydalanuvchi imtiyozlari bilan buyruqlarni bajarishga imkon beradi. Hujumni muvaffaqiyatli amalga oshirish uchun tajovuzkor jabrlanuvchini zararli havolani bosishga ko’ndirish kerak bo’ladi. Cisco Webex Teams ning 3.0.10260 dan oldingi barcha versiyalari zaif.

Boshqa narsalar qatorida, ishlab chiqaruvchi Cisco Small Business RV320 va RV325 routerlarining boshqaruv interfeysidagi bir qator zaifliklarni tuzatdi, bu esa hujumchilarga qurilmadan fayllarni olish, administrator huquqlarini olish va superuser imtiyozlari bilan buyruqlarni bajarish imkonini berdi.