10 из 10: в Cisco IOS XE найдена критическая уязвимость нулевого дня, позволившая получить полный контроль над 10 тыс. устройств

Cisco сообщила о выявлении ранее неизвестной уязвимости нулевого дня CVE-2023-20198 в веб-сервере Cisco IOS XE. Уязвимость касается как физических, так и виртуальных устройств под управлением Cisco IOS XE, у которых также включена функция HTTP(S)-сервера. Уязвимость получила максимальный рейтинг опасности — 10 из 10 возможных баллов по шкале CVSS. Патч, закрывающий уязвисмость, пока не готов. Уязвимость позволяет хакеру без прохождения аутентификации создать на подключённом к интернету устройстве учётную запись с максимальным уровнем привилегий (15), что обеспечивает ему полный контроль над скомпрометированной системой. Компания заявила, что отследила, как злоумышленник использовал уязвимость для получения привилегий уровня администратора на устройствах под управлением IOS XE, а затем, в обход патчей, используя старую уязвимость удалённого выполнения кода (RCE) от 2021 года (CVE-2021-1435) установил Lua-имплантат на затронутые системы.
Источник: 3dnews.ru