سیسکو مشاوره امنیتی برای سه وصله آسیب پذیر در اوایل ماه اوت را به روز رسانی کرد و به مشتریان آن‌ها هشدار داد که تیم پاسخ به حوادث امنیتی محصولات آن‌ها (PSIRT)، از کد مخرب عمومی در دسترس، آگاه است.

این آسیب پذیری ها، سوئیچ های سری Cisco Small Business 220 را تحت تاثیر قرار می دهند که دوتای آنها اجرای کد از راه دور CVE-2019-1913 و دیگری دور زدن مکانیزم امنیتی CVE-2019-1912 می باشد.

یک مهاجم غیرمجاز از راه دور می تواند از آن‌ها سو استفاده کند تا کد دلخواه را با حق امتیاز ویژه اجرا کند و بدنبال آن پرونده های دلخواه را بارگذاری کند.

مورد سوم، آسیب پذیری تزریق فرمان (command injection) است که تحت عنوان CVE-2019-1914 شناخته می‌شود و از طریق مهاجمان از راه دور، به صورت مخفیانه فعال می‌شود و از آن برای یک حمله تزریق فرمان سو استفاده می‌شود.

همانطور که مشاوره امنیتی به روز شده سیسکو توضیح می دهد:

تیم پاسخ به حوادث امنیتی سیسکو (PSIRT) از وجود کد مخرب عمومی آگاه است ولی Cisco PSIRT ازبدافزاری که از این آسیب پذیری سو استفاده می‌کند، آگاهی ندارد.

هر سه مورد توسط یک محقق امنیتی معروف به “bashis” از طریق یک برنامه فاش سازی  شرکت VDOO گزارش شده است.

وصله شدن چهار نقص بحرانی

این شرکت همچنین بیش از ۳۰ آسیب پذیری بحرانی و شدید که در نرم افزارIntegrated Management Controller (IMC) و سیستم واحد محاسبات سیسکو (UCS) کشف شده است، را وصله کرده است.

از این تعداد، ۱۵ نقص امنیتی با شدت بالا و ۴ مورد دارای اهمیت بحرانی با نمرات پایه CVSS v3.0 9.8 بودند. سه مورد از آن‌ها، اعتبارسنجی را دور می‌زنند، در حالی که مورد آخر یک آسیب پذیری نام کاربری و گذرواژه ی پیش فرض است.

مسائل امنیتی مهم در این موضوع، به مهاجمین غیرمستقیم غیرمجاز اجازه می‌دهد تا پس از سوء استفاده موفقیت آمیز از دستگاه ها با کمک درخواست های مخرب دستکاری شده، و  همچنین با سوءاستفاده از گذرواژه های پیش فرض برای ورود به دستگاه های هدفمند، حملات پیچیده ای را انجام دهند.

سیسکو چهار نقص مهم را وصله کرده و به مشتریان توصیه می‌کند با نصب نسخه های نرم افزاری زیر، حملات احتمالی را کاهش دهند:

• Cisco Integrated Management Controller Supervisor releases 2.2.1.0 and later
• Cisco UCS Director releases 6.7.2.0 and later (recommended: 6.7.3.0)
• Cisco UCS Director Express for Big Data releases 3.7.2.0 and later (recommended: 3.7.3.0)

خوشبختانه، (PSIRT (Product Security Incident Response Team سیسکو اعلام کرده است که هنوز از هیچگونه سوء استفاده و یا اطلاعیه عمومی سو استفاده از  کد برای این آسیب پذیری‌های حیاتی که در روز چهارشنبه وصله شده است، آگاه نیست.