Fjouwer kwetsberens binne identifisearre yn Switches fan Cisco Small Business-searjes wêrtroch in oanfaller op ôfstân sûnder autentikaasje folsleine tagong kin krije ta it apparaat mei rootrjochten. Om de problemen te eksploitearjen, moat de oanfaller fersiken kinne stjoere nei de netwurkpoarte dy't de webynterface leveret. De problemen wurde tawiisd in kritysk nivo fan gefaar (4 fan 9.8). In prototype fan in wurkjende eksploitaasje wurdt rapporteare beskikber te wêzen.
De identifisearre kwetsberens (CVE-2023-20159, CVE-2023-20160, CVE-2023-20161, CVE-2023-20189) wurde feroarsake troch flaters by it wurkjen mei ûnthâld yn ferskate handlers dy't beskikber binne yn 'e pre-autentikaasjestadium. De kwetsberens liede ta in bufferoerstream by it ferwurkjen fan spesjaal ûntwurpen eksterne gegevens. Derneist binne fjouwer minder gefaarlike kwetsberens (CVE-2023-20024, CVE-2023-20156, CVE-2023-20157, CVE-2023-20158) identifisearre yn 'e Cisco Small Business-searje dy't tsjinstferliening op ôfstân tastean, en ien kwetsberens (CVE-2023-20162), dat makket it mooglik om te krijen apparaat konfiguraasje ynformaasje sûnder autentikaasje.
De kwetsberens beynfloedzje de Smart Switch 250, 350, 350X, 550X, Business 250 en Business 350-searjes, lykas de Small Business 200, 300 en 500-searjes. De problemen waarden fêst yn firmware-fernijings 220 en 220. Foar de Small Business 2.5.9.16, 3.3.0.16 en 200-searjes sille firmware-updates net wurde generearre, om't de libbenssyklus fan dizze modellen al foltôge is.
Boarne: opennet.ru