सिस्को लघु व्यवसाय श्रृंखला स्विचेस में गंभीर भेद्यताएँ

सिस्को स्मॉल बिजनेस श्रृंखला स्विच में चार कमजोरियों की पहचान की गई है जो प्रमाणीकरण के बिना एक दूरस्थ हमलावर को रूट अधिकारों के साथ डिवाइस तक पूर्ण पहुंच प्राप्त करने की अनुमति देती है। समस्याओं का फायदा उठाने के लिए, हमलावर को वेब इंटरफ़ेस प्रदान करने वाले नेटवर्क पोर्ट पर अनुरोध भेजने में सक्षम होना चाहिए। समस्याओं को ख़तरे का गंभीर स्तर (4 में से 9.8) सौंपा गया है। एक कार्यशील शोषण का एक प्रोटोटाइप उपलब्ध होने की सूचना है।

पहचानी गई कमजोरियाँ (CVE-2023-20159, CVE-2023-20160, CVE-2023-20161, CVE-2023-20189) पूर्व-प्रमाणीकरण चरण में उपलब्ध विभिन्न हैंडलर में मेमोरी के साथ काम करते समय त्रुटियों के कारण होती हैं। विशेष रूप से डिज़ाइन किए गए बाहरी डेटा को संसाधित करते समय कमजोरियाँ बफर ओवरफ्लो का कारण बनती हैं। इसके अलावा, सिस्को स्मॉल बिजनेस श्रृंखला में चार कम खतरनाक कमजोरियों (सीवीई-2023-20024, सीवीई-2023-20156, सीवीई-2023-20157, सीवीई-2023-20158) की पहचान की गई है जो सेवा के दूरस्थ इनकार की अनुमति देती है, और एक भेद्यता (सीवीई-2023-20162), जो प्रमाणीकरण के बिना डिवाइस कॉन्फ़िगरेशन जानकारी प्राप्त करना संभव बनाती है।

भेद्यताएं स्मार्ट स्विच 250, 350, 350X, 550X, बिजनेस 250 और बिजनेस 350 सीरीज को प्रभावित करती हैं, साथ ही स्मॉल बिजनेस 200, 300 और 500 सीरीज 220 और बिजनेस 220 सीरीज को प्रभावित नहीं करती हैं। फ़र्मवेयर अद्यतन 2.5.9.16 और 3.3.0.16 में समस्याएँ ठीक कर दी गईं। लघु व्यवसाय 200, 300 और 500 श्रृंखला के लिए, फर्मवेयर अपडेट उत्पन्न नहीं होंगे, क्योंकि इन मॉडलों का जीवन चक्र पहले ही पूरा हो चुका है।

स्रोत: opennet.ru