Cisco-ն ծրագրային ապահովման նոր թարմացումներ է թողարկել՝ Unity Connection-ի վրա ազդող անվտանգության ոլորտի կրիտիկական խոցելիությունները լուծելու համար, որը հաքերներին կարող էր թույլ տալ համակարգերում կամայական հրամաններ իրականացնել:
Որակվելով որպես CVE-2024-20272 (CVSS կատալոգում միավորը՝ 7.3), խոցելիությունը կամայական ֆայլի վերբեռնման խոցելիություն է, որը գտնվում է web-based կառավարման interface-ում և որոշակի API-ում նույնականացման բացակայության արդյունք է:
«Հաքերները կարող են այս խոցելիությունն ակտիվորեն օգտագործել ՝ վնասված համակարգերից կամայական ֆայլեր վերբեռնելու համար», – նշվում է Cisco-ի կողմից հրապարակված զեկույցում:
«Հաքերների կողմից խոցելիության հաջող շահագործումը թույլ կտա malware-ային ֆայլեր մուտքագրել համակարգ և ընդլայնել արտոնությունները համակարգի root-երում»:
Խոցելիությունն ազդում է Cisco Unity Connection-ի հետևյալ տարբերակների վրա՝
– 12.5 և ավելի վաղ տարբերակներ (խոցելիությունը շտկված է՝ 12.5.1.19017-4 տարբերակում)
– 14 (խոցելիությունը շտկված է՝ 14.0.1.14006-5 տարբերակում)
Cisco-ն, այնուամենայնիվ նշել է, որ դեռևս մտադիր չէ շտկել WAP371-ում առկա jection bug-ը (CVE-2024-20287, CVSS կատալոգում միավորը՝ 6.5): Փոխարենը հաճախորդներին խորհուրդ է տալիս տեղափոխել Cisco Business 240AC Access Point:
Աղբյուրը՝ https://thehackernews.com/
