Četiri ranjivosti su identifikovane u prekidačima serije Cisco Small Business koji omogućavaju udaljenom napadaču bez autentifikacije da dobije potpuni pristup uređaju sa root pravima. Da bi iskoristio probleme, napadač mora biti u mogućnosti da pošalje zahtjeve na mrežni port koji pruža web sučelje. Problemima je dodijeljen kritični nivo opasnosti (4 od 9.8). Izvještava se da je dostupan prototip radnog exploit-a.
Identificirane ranjivosti (CVE-2023-20159, CVE-2023-20160, CVE-2023-20161, CVE-2023-20189) uzrokovane su greškama pri radu s memorijom u različitim rukovateljima dostupnim u fazi pre-autentifikacije. Ranjivosti dovode do prekoračenja bafera prilikom obrade posebno dizajniranih eksternih podataka. Pored toga, četiri manje opasne ranjivosti (CVE-2023-20024, CVE-2023-20156, CVE-2023-20157, CVE-2023-20158) identifikovane su u Cisco Small Business seriji koje omogućavaju daljinsko uskraćivanje usluge, i jedna ranjivost (CVE-2023-20162), koja omogućava dobijanje informacija o konfiguraciji uređaja bez autentifikacije.
Ranjivosti utiču na serije Smart Switch 250, 350, 350X, 550X, Business 250 i Business 350, kao i na serije Small Business 200, 300 i 500. Na serije 220 i Business 220 ranjivost ne utiče. Problemi su otklonjeni u ažuriranjima firmvera 2.5.9.16 i 3.3.0.16. Za serije Small Business 200, 300 i 500, ažuriranja firmvera neće biti generisana, jer je životni ciklus ovih modela već završen.
izvor: opennet.ru
