Cisco телефонските адаптери ранливи на RCE напади, не е достапна поправка

Cisco откри ранливост во веб-интерфејсот за управување на Cisco SPA112 2-портните телефонски адаптери, дозволувајќи на неавтентициран, далечински напаѓач да изврши произволен код на уредите.

Следена како CVE-2023-20126 и „критична“ оцена на CVSS од 9,8, оваа ранливост е предизвикана од недостапен автентикациски процес во функцијата за надградба на фирмверот.

„Напаѓачот може да ја искористи оваа ранливост со надградба на засегнатиот уред на изработена верзија на фирмверот“, стои во безбедносниот билтен на Cisco.
„Успешна експлоатација може да му овозможи на напаѓачот да изврши произволен код на засегнатиот уред со целосни привилегии.

Овие телефонски адаптери се популарен избор во индустријата за инкорпорирање на аналогни телефони во VoIP мрежите без надградба.

Иако овие адаптери може да се користат во многу организации, тие веројатно не се изложени на Интернет, што ги прави овие недостатоци претежно да се експлоатираат од локалната мрежа.

Сепак, добивањето пристап до овие уреди може да му помогне на напаѓачот да се шири странично на мрежата без откривање, бидејќи безбедносниот софтвер вообичаено не ги следи овие типови уреди.

Бидејќи Cisco SPA112 го достигна крајот на својот животен век, тој повеќе не е поддржан од продавачот и нема да добие безбедносно ажурирање. Исто така, Cisco не обезбеди никакви ублажувања за CVE-2023-20126.

Безбедносниот билтен на Cisco има за цел да ја подигне свеста за потребата да се заменат погодените телефонски адаптери или да се имплементираат дополнителни безбедносни слоеви за да се заштитат од напади.

Препорачаниот модел за замена е аналоген телефонски адаптер од серијата Cisco ATA 190, кој има назначен датум на крај на работен век на 31 март 2024 година.

Компанијата не знае за какви било случаи на активна експлоатација на CVE-2023-20126, но тоа може да се промени во секое време, па затоа на администраторите им се препорачува итно да ги преземат соодветните мерки на претпазливост.

Недостатоците од критичната сериозност на некогаш популарните уреди се потенцијални кандидати за употреба во напади, што потенцијално ќе доведе до безбедносни инциденти од големи размери.

Извор: BleepingComputer