Cisco pada hari Rabu meluncurkan tambalan untuk mengatasi delapan kerentanan keamanan, tiga di antaranya dapat dipersenjatai oleh penyerang yang tidak diautentikasi untuk mendapatkan eksekusi kode jarak jauh (RCE) atau menyebabkan kondisi penolakan layanan (DoS) pada perangkat yang terpengaruh.
Kelemahan yang paling kritis berdampak pada router Cisco Small Business RV160, RV260, RV340, dan RV345 Series. Dilacak sebagai CVE-2022-20842 (skor CVSS: 9,8), kelemahan tersebut berasal dari validasi input yang diberikan pengguna ke antarmuka manajemen perangkat berbasis web yang tidak mencukupi.
Kelemahan kedua berkaitan dengan kerentanan injeksi perintah yang berada di fitur pembaruan basis data filter web router (CVE-2022-20827, skor CVSS: 9.0), yang dapat dimanfaatkan oleh musuh untuk menyuntikkan dan menjalankan perintah sewenang-wenang pada sistem operasi yang mendasarinya. dengan hak akses root.
Cacat terkait router ketiga yang harus diselesaikan (CVE-2022-20841, skor CVSS: 8.0) juga merupakan bug injeksi perintah dalam modul Open Plug-n-Play (PnP) yang dapat disalahgunakan dengan mengirimkan input berbahaya untuk mencapai eksekusi kode pada host Linux yang ditargetkan.
“Untuk mengeksploitasi kerentanan ini, penyerang harus memanfaatkan posisi man-in-the-middle atau memiliki pijakan yang mapan pada perangkat jaringan tertentu yang terhubung ke router yang terpengaruh,” kata pembuat peralatan jaringan tersebut.
Juga ditambal oleh Cisco adalah lima kelemahan keamanan menengah yang memengaruhi Rapat Webex, Mesin Layanan Identitas, Manajer Komunikasi Terpadu, dan Platform Pengiriman Aplikasi BroadWorks.
Perusahaan tidak menawarkan solusi untuk memperbaiki masalah, menambahkan tidak ada bukti kerentanan ini dieksploitasi di alam liar. Konon, pelanggan disarankan untuk bergerak cepat untuk menerapkan pembaruan.
