Cisco vá các lỗ hổng nghiêm trọng trong nhiều sản phẩm

[Sugi_b3o]

Cisco vừa thông báo về bản vá cho các lỗ hổng nghiêm trọng trong một số sản phẩm của mình, bao gồm Enterprise NFV, Expressway và TelePresence.

Theo đó, các sản phẩm Expressway và TelePresence Video Communication Server bị ảnh hưởng bởi hai lỗ hổng nghiêm trọng.

Lỗ hổng đầu tiên (CVE-2022-20814) liên quan đến xác thực chứng chỉ không hợp lệ, cho phép kẻ tấn công từ xa không cần xác thực truy cập dữ liệu nhạy cảm thông qua một cuộc tấn công man-in-the-middle. Khai thác thành công lỗ hổng, kẻ tấn công có thể chặn hoặc thay đổi lưu lượng truy cập.

Lỗ hổng thứ hai (CVE-2022-20853) cho phép các cuộc tấn công giả mạo yêu cầu trang web (CSRF). Kẻ tấn công có thể gây ra tình trạng từ chối dịch vụ (DoS) bằng cách lừa người dùng nhấp vào một liên kết tự tạo trước đó.

Trong sản phẩm Enterprise NFV Infrastructure Software (NFVIS), Cisco khắc phục sự cố nghiêm trọng cao liên quan đến chữ ký của các tệp nâng cấp không được kiểm tra đúng cách (CVE-2022-20929).

'Kẻ tấn công có thể khai thác lỗ hổng này bằng cách cung cấp cho quản trị viên tệp nâng cấp giả mạo. Khai thác thành công có thể dẫn đến xâm phạm hoàn toàn hệ thống Cisco NFVIS".

Công ty cũng phát hành tư vấn an ninh giải quyết các lỗ hổng có mức nghiêm trọng trung bình trong Smart Software Manager On-Prem, Jabber, BroadWorks, ATA, Touch 10, Secure Web Appliance và nhiều điểm truy cập. Cisco cho biết chưa ghi nhận bất kỳ chiến dịch tấn công nào nhằm vào các lỗ hổng này.

Theo Security Week​