VietNetwork.Vn

Cisco đã phát hành bản cập nhật bảo mật cho hai lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến Tiện ích cấp phép thông minh, có thể cho phép kẻ tấn công từ xa chưa xác thực nâng cao đặc quyền hoặc truy cập thông tin nhạy cảm.

Dưới đây là mô tả ngắn gọn về hai lỗ hổng bảo mật -

• CVE-2024-20439 (Điểm CVSS: 9,8) - Sự hiện diện của thông tin xác thực người dùng tĩnh không có tài liệu cho tài khoản quản trị mà kẻ tấn công có thể khai thác để đăng nhập vào hệ thống bị ảnh hưởng
• CVE-2024-20440 (Điểm CVSS: 9,8) - Một lỗ hổng phát sinh do tệp nhật ký gỡ lỗi quá chi tiết mà kẻ tấn công có thể khai thác để truy cập các tệp đó thông qua yêu cầu HTTP được tạo sẵn và lấy thông tin xác thực có thể được sử dụng để truy cập API

Mặc dù những điểm yếu này không phụ thuộc vào nhau để thành công, nhưng Cisco lưu ý trong thông báo của mình rằng chúng "không thể khai thác được trừ khi Tiện ích cấp phép thông minh của Cisco được người dùng khởi động và đang chạy tích cực".


Các lỗ hổng được phát hiện trong quá trình thử nghiệm bảo mật nội bộ cũng không ảnh hưởng đến các sản phẩm Smart Software Manager On-Prem và Smart Software Manager Satellite.

Người dùng Cisco Smart License Utility phiên bản 2.0.0, 2.1.0 và 2.2.0 được khuyên nên cập nhật lên bản phát hành đã sửa lỗi. Phiên bản 2.3.0 của phần mềm không dễ bị lỗi này.

Cisco cũng đã phát hành bản cập nhật để giải quyết lỗ hổng tiêm lệnh trong Identity Services Engine (ISE) có thể cho phép kẻ tấn công cục bộ đã xác thực chạy các lệnh tùy ý trên hệ điều hành cơ bản và nâng cao đặc quyền lên root.

Lỗ hổng được theo dõi là CVE-2024-20469 (điểm CVSS: 6.0), yêu cầu kẻ tấn công phải có quyền quản trị hợp lệ trên thiết bị bị ảnh hưởng.

"Lỗ hổng này là do xác thực không đầy đủ dữ liệu đầu vào do người dùng cung cấp", công ty cho biết. "Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi lệnh CLI được tạo sẵn. Một khai thác thành công có thể cho phép kẻ tấn công nâng cao đặc quyền lên root".

Nó ảnh hưởng đến các phiên bản sau -

• Cisco ISE 3.2 (3.2P7 - Tháng 9 năm 2024)
• Cisco ISE 3.3 (3.3P4 - Tháng 10 năm 2024)

Công ty cũng cảnh báo rằng có mã khai thác bằng chứng khái niệm (PoC), mặc dù họ chưa phát hiện bất kỳ hành vi khai thác lỗi nào có chủ đích.