Cisco vá lỗ hổng nghiêm trọng trong Wireless LAN Controller

[DDos]

Cisco đã phát hành bản cập nhật dành cho phần mềm bộ điều khiển mạng LAN không dây (WLC) để giải quyết một lỗ hổng nghiêm trọng có thể cho phép hacker vượt qua xác thực.

Có mã định danh CVE-2022-20695 (CVSS 10), lỗ hổng tồn tại do thuật toán xác thực mật khẩu không được triển khai đúng cách. Do đó, hacker có thể sử dụng thông tin đăng nhập được tạo thủ công để bỏ qua xác thực và đăng nhập vào thiết bị bị ảnh hưởng với tư cách là quản trị viên. Cisco cho biết: "Lỗ hổng này bắt nguồn từ một cấu hình không mặc định trên thiết bị gây ra."

Sự cố đã được xác định trong các bản phát hành của phần mềm WLC 8.10.151.0 và 8.10.162.0 và ảnh hưởng đến các bộ điều khiển không dây 3504, 5520 và 8540, Mobility Express và Virtual Wireless Controller ( vWLC) nếu chức năng lọc địa chỉ mac được định cấu hình là Other.

Không có các biện pháp giảm thiểu cho lỗ hổng này, khách hàng bị ảnh hưởng nên cập nhật lên phiên bản phần mềm WLC 8.10.171.0 hoặc mới hơn.

Tuần này, công ty cũng phát hành các bản vá cho hơn 10 lỗ hổng có mức độ nghiêm trọng cao ảnh hưởng đến phần mềm Cisco SD-WAN và Cisco IOS.

Việc khai thác thành công các lỗi này có thể cho phép kẻ tấn công nâng cao đặc quyền trên thiết bị bị ảnh hưởng hoặc gây ra tình trạng từ chối dịch vụ (DoS). Cisco đã phát hành bản cập nhật phần mềm cho tất cả các lỗ hổng này và cho biết không có bằng chứng cho thấy lỗi bị khai thác trong thực tế.

Theo: securityweek​