Компания Cisco объявила о выпуске патчей для множества уязвимостей, обнаруженных в ее продуктах. Наибольшую угрозу представляет критическая уязвимость в Cisco Nexus Dashboard Fabric Controller (NDFC).
Критическая уязвимость в NDFC (CVE-2024-20432)
«Эта уязвимость, отслеживаемая как CVE-2024-20432 с критическим уровнем опасности (CVSS 9.9), затрагивает REST API и веб-интерфейс Cisco NDFC. Успешная эксплуатация ошибки позволяет хакерам с авторизованным доступом выполнить произвольные команды на уязвимом устройстве с правами сетевого администратора.»
Cisco поясняет, что причиной уязвимости является недостаточная проверка прав пользователя и некорректная валидация аргументов команд. Для эксплуатации ошибки злоумышленнику достаточно отправить специально созданные команды через уязвимый REST API или веб-интерфейс.
Исправления
Уязвимость была устранена в версии Cisco NDFC 12.2.2. При этом, версии NDFC 11.5 и более ранние, а также экземпляры, настроенные для развертывания контроллера SAN, не подвержены этой проблеме. В версии 12.2.2 также исправлена другая уязвимость, связанная с некорректной валидацией пути, которая могла позволить атакующему загрузить вредоносный код с использованием протокола SCP, что в свою очередь могло привести к выполнению произвольного кода с привилегиями root.
Уязвимости в Meraki MX и Meraki Z
Cisco также выпустила патчи для нескольких высоко и среднесерьезных уязвимостей, обнаруженных в устройствах серий Meraki MX и Meraki Z, используемых для удаленной работы. Эти уязвимости позволяют злоумышленникам вызвать отказ в обслуживании (DoS).
Уязвимости высокой серьезности
Три уязвимости высокой степени опасности связаны с недостаточной валидацией параметров, передаваемых клиентом при установлении SSL VPN-сессии. Это позволяет атакующему отправлять специально подготовленные запросы, которые могут привести к перезагрузке сервера AnyConnect VPN и блокировке SSL VPN соединений.
Уязвимости средней серьезности
Кроме того, три уязвимости средней серьезности возникают из-за неправильного управления ресурсами при установлении TLS/SSL или SSL VPN-сессий, а также недостаточной энтропии при генерации обработчиков сессий. Эти проблемы могут позволить атакующему прервать или завершить сессию.
Исправления
Уязвимости были устранены в версии прошивки Meraki MX 18.211.2. Cisco рекомендует всем пользователям, использующим версии 16.2 и выше или 17.0 и выше, обновить свои устройства до исправленной версии.
Уязвимости в маршрутизаторах Cisco
Компания также предупредила о наличии высоко и среднесерьезных уязвимостей в устаревших моделях маршрутизаторов RV-серии, таких как RV340, RV340W, RV345 и RV345P, а также RV042, RV042G, RV320 и RV325. Эти уязвимости могут привести к повышению привилегий, удаленному выполнению кода и отказу в обслуживании.
Поддержка устаревших моделей
Cisco не планирует выпускать обновления для этих устройств, так как они больше не поддерживаются и не получают обновлений безопасности. Пользователям рекомендуется заменить устаревшие продукты на современные аналоги.
Рекомендации Cisco
Компания настоятельно рекомендует пользователям своевременно обновить свои системы или, если речь идет о снятых с поддержки устройствах, заменить их новыми моделями. Хотя в настоящее время нет информации об активной эксплуатации указанных уязвимостей, злоумышленники часто используют уязвимости в продуктах Cisco, для которых уже выпущены исправления.
Подробная информация доступна в разделе «Советы по безопасности» на сайте Cisco.
Наш процесс рецензирования основан на тщательном исследовании и объективности. Все материалы проходят многоуровневую проверку на соответствие высоким стандартам качества и точности, обеспечивая надёжную информацию для принятия обоснованных решений.
Максим - ведущий тестировщик VPN в проекте vpnRussia, протестировал более 100 VPN-сервисов. С образованием в области информационных технологий, Максим специализируется на анализе и оценке производительности VPN, их безопасности и удобства использования. Его ключевые задачи включают проведение всесторонних тестов VPN-сервисов, выявление уязвимостей и проблем, а также подготовку детальных отчетов для пользователей.