Cisco-nun proqram təminatında Naqilsiz LAN Kontrollerinə (WLC) təsir edən və zədələnmiş sistemdə nəzarəti ələ keçirmək üçün naməlum, uzaqdan hücumçu tərəfindən istifadə edilə bilən kritik təhlükəsizlik boşluğu yaranıb.
TIME rəsmi mənbəyə istinadən bildirir ki, CVE-2022-20695 kimi adlandırılan problem təsir dərəcəsinə görə 10 ballıq sistemdə 10 balla qiymətləndirilib və zərərli hücumçuya identifikasiya nəzarətindən yayınmağa və “WLC” idarəetmə interfeysi vasitəsilə cihaza daxil olmağa imkan verir.
Şirkətin infrormasiya sorğusunda bildirildi ki, “Bu zəiflik parolun yoxlanılması alqoritminin düzgün tətbiq edilməməsi ilə əlaqədardır”. “Zərərli hücumçu xüsusi hazırlanmış identifikasiya məlumatları ilə zədələnmiş cihaza daxil olaraq bu boşluqdan istifadə edə bilər.”
Boşluqdan müvəffəqiyyətlə istifadə edilməsi hücumçunun inzibatçı kimi sistemə daxil olmasına və zəif sistemin tam ələ keçirilməsinə imkan verəcək zərərli fəaliyyətlə məşğul olmasına icazə verə bilər. Şirkət vurğuladı ki, problem yalnız “Cisco WLC” proqram təminatının 8.10.151.0 və ya 8.10.162.0 versiyasından istifadə edildikdə və macfilter radiusu “Digər” olaraq təyin olunduqda aşağıdakı məhsullara təsir edir:
- 3504 Naqilsiz Kontroller
- 5520 Naqilsiz Kontroller
- 8540 Naqilsiz Kontroller
- Mobility Express, və
- Virtual Naqilsiz Kontroller (vWLC)
Qüsurun aradan qaldırılması üçün istifadəçilərə proqramı 8.10.171.0 versiyası ilə yeniləmələri tövsiyə olunur. Cisco Naqilsiz LAN Kontroller 8.9 və ondan əvvəlki versiyalar, eləcə də 8.10.142.0 versiyası və daha əvvəlki versiyalarda zəiflik aşkar olunmayıb.
Cisco, Bispok-da adı açıqlanmayan bir tədqiqatçıya zəiflik barədə məlumat verərək, CVE-2022-20695-dən aktiv şəkildə istifadə edildiyinə dair heç bir sübut olmadığını söyləyib.
Eyni zamanda şəbəkə avadananlığının əsas təchizatçıları tərəfindən Cisco IOS XE/XR və SD-WAN vManage proqram təminatına, həmçinin Catalyst Digital Building Series Switches və Catalyst Micro Switches kommutatorlarına təsir göstərən14 yüksək dərəcəli ciddi boşluq və doqquz orta dərəcəli ciddi boşluq aradan qaldırıldı.