A Cisco bejelentette, hogy egy eddig ismeretlen nulla napos sebezhetőséget, a CVE-2023-20198-at fedeztek fel a Cisco IOS XE webkiszolgálójában. A sebezhetőség a Cisco IOS XE-t futtató, HTTP(S) szerver funkcióval rendelkező fizikális és virtuális eszközöket érinti. A sebezhetőség maximális kockázati besorolást kapott — 10 a CVSS skálán. A sebezhetőséget orvosló javítás még nem készült el. A sebezhetőség lehetővé teszi, hogy egy hacker hitelesítés nélkül létrehozzon egy adminisztrátori szintű fiókot (15) egy internethez csatlakoztatott eszközön, ami teljes kontrollt biztosít számára a kompromittált rendszeren. A vállalat azt állította, hogy nyomon követte, hogyan használta ki a támadó a sebezhetőséget adminisztrátori jogok megszerzésére az IOS XE-t futtató eszközökön, majd a javítások megkerülésével, egy 2021-es távoli kódvégrehajtási (RCE) sebezhetőséget (CVE-2021-1435) felhasználva Lua beépülőt telepített az érintett rendszerekre.
Forrás: 3dnews.ru
