Cisco corregge il difetto RCE dell'interfaccia utente Web in più telefoni IP
Pubblicato da Angelo Domeneghini in Privacy - Sicurezza - BUG · 2 Marzo 2023
Cisco corregge il difetto RCE dell'interfaccia utente Web in più telefoni IP
Cisco ha risolto una vulnerabilità di sicurezza critica rilevata nell'interfaccia utente Web di più modelli di telefoni IP che gli aggressori remoti e non autenticati possono sfruttare negli attacchi RCE (Remote Code Execution).
Il difetto RCE (CVE-2023-20078) consente agli aggressori di iniettare comandi arbitrari che verranno eseguiti con privilegi di root in seguito a sfruttamento riuscito.
"Un exploit riuscito potrebbe consentire all'attaccante di eseguire comandi arbitrari sul sistema operativo sottostante di un dispositivo interessato", ha affermato oggi Cisco.
La società ha anche rivelato oggi una seconda vulnerabilità ad alta gravità (CVE-2023-20079) che può essere sfruttata per attivare condizioni di denial-of-service (DoS).
Entrambi i bug sono dovuti a una convalida insufficiente dell'input fornito dall'utente e possono essere sfruttati utilizzando richieste create in modo dannoso inviate all'interfaccia di gestione basata sul Web del dispositivo preso di mira.
Le vulnerabilità di sicurezza sono state scoperte da Zack Sanchez del Cisco Advanced Security Initiatives Group (ASIG) durante i test di sicurezza interni.
L'elenco dei dispositivi interessati include i dispositivi Cisco IP Phone serie 6800, 7800 e 8800 con firmware multipiattaforma (vulnerabili agli attacchi RCE e DoS) e Unified IP Conference Phone 8831, Unified IP Conference Phone 8831 con firmware multipiattaforma e Unified IP Conference Phone 8831 con firmware multipiattaforma. Telefono serie 7900 (vulnerabile solo agli attacchi DoS).
Il Product Security Incident Response Team (PSIRT) dell'azienda ha aggiunto di non aver visto prove di tentativi di sfruttare questo difetto di sicurezza negli attacchi.
La vulnerabilità Denial of Service rimane senza patch
Sebbene Cisco abbia rilasciato aggiornamenti di sicurezza per affrontare la vulnerabilità RCE CVE-2023-20078, la società ha affermato che non rilascerà patch per correggere il difetto DoS CVE-2023-20079.
"Cisco Unified IP Phone serie 7900 e Cisco Unified IP Conference Phone 8831 sono entrati nel processo di fine vita", ha spiegato la società.
Cisco ha inoltre annunciato a dicembre che rilascerà patch per una vulnerabilità zero-day ad alta gravità (CVE-2022-20968) con codice di exploit pubblico trovato nella funzione di elaborazione Cisco Discovery Protocol (CDP) dei telefoni IP Cisco con serie 7800 e 8800 firmware.
Sebbene non sia ancora disponibile un aggiornamento della sicurezza per CVE-2022-20968, gli amministratori sono invitati a disabilitare CDP sui dispositivi IP Phone interessati che supportano Link Layer Discovery Protocol (LLDP) per rimuovere il vettore di attacco.
Nel febbraio 2020, Cisco ha corretto altre cinque vulnerabilità RCE e DoS nel Cisco Discovery Protocol, noto collettivamente come CDPwn e potenzialmente in grado di interessare decine di milioni di dispositivi aziendali.