Cisco แจ้งเตือนลูกค้าให้อัปเดตซอฟต์แวร์ระบบเน็ตเวิร์กทันทีโดยตั้งค่าสถานะช่องโหว่ด้านความปลอดภัยที่สำคัญ 4 รายการที่ส่งผลกระทบต่อ SD-WAN, DNA 

Cisco SD-WAN  ทั้งหมดเป็นช่องโหว่ที่เปิดให้ฝังคำสั่งอันตรายได้ อยู่ภายใต้รหัส CVE-2021-1260, CVE-2021-1261, และ CVE-2021-1262 มีคะแนนความร้ายแรงอยู่ที่ 9.9 เต็ม 10 เรียกได้ว่าร้ายแรงมาก และจำเป็นต้องรีบดำเนินการแก้ไขทันที "ช่องโหว่จำนวนมากในผลิตภัณฑ์ Cisco SD-WAN เหล่านี้ต่างเปิดช่องให้ผู้โจมตีที่สามารถยืนยันตนหรือยิงสุ่มรหัสผ่านสำเร็จ สามารถฝังคำสั่งโจมตีไปยังอุปกรณ์ที่โดนแฮ็กได้ จนสามารถจัดการอุปกรณ์ดังกล่าวต่อด้วยสิทธิ์ที่เข้าถึงบนอุปกรณ์ได้

ปัญหานี้ส่งผลกระทบต่อซอฟต์แวร์ SD-WAN vBond Orchestrator ของ Cisco, เราเตอร์ระบบคลาวด์ SD-WAN vEdge, เราเตอร์ SD-WAN vEdge, ซอฟต์แวร์ SD-WAN vManage และซอฟต์แวร์ SD-WAN vSmart Controller

Cisco SD-WAN รีบแก้ไขจากข้อบกพร่องอื่น ๆ อีกสองจุดที่มีคะแนนความรุนแรง 9.8 ซึ่งติดตามเป็น CVE-2021-1300 และ CVE-2021-1301 nasties เหล่านี้ช่วยให้ "โจมตี unauthenticated ระยะไกลเพื่อดำเนินการโจมตีกับอุปกรณ์ที่ได้รับผลกระทบ"

ทั้งนี้ ซอฟต์แวร์ Cisco SD-WAN ที่ได้รับผลกระทบได้แก่ ซอฟต์แวร์ SD-WAN vBond Orchestrator, SD-WAN vEdge Cloud Routers, SD-WAN vEdge Routers, SD-WAN vManage Software และ SD-WAN vSmart Controller Software ด้วยระดับความรุนแรง 9.6 เครื่องมือ Command Runner ของ Cisco DNA Center "สามารถอนุญาตให้ผู้โจมตีระยะไกลที่ได้รับการพิสูจน์ตัวตนสามารถทำการโจมตีด้วยการฉีดคำสั่งได้"มีการติดตามเป็น CVE-2021-1264 

สุดท้ายส่วนติดต่อจากผู้ใช้ Cisco Smart Software Manager Satellite Web มีจุดบกพร่องที่มีความรุนแรง 9.8 เนื่องจากผู้โจมตีระยะไกลสามารถฉีดคำสั่งที่เป็นอันตรายเข้าไปได้แม้จะไม่มีรหัสผ่านก็ตาม และประกอบด้วยจุดบกพร่องที่แตกต่างกันสามรายการติดตามเป็น CVE-2021-1138, CVE-2021-1139 และ CVE-2021-1140 สิ่งเหล่านี้เป็นข้อบกพร่องที่ร้ายแรง

คำแนะนำ

การโจมตีเพื่อต้องการเข้าสู่ระบบที่ถูกต้อง แต่เข้าตรวจสอบข้อพกพร่องโดยเครื่องมือคำสั่ง Runner "สามารถช่วยให้ผู้โจมตีเพื่อรันคำสั่ง CLI ในอุปกรณ์ที่จัดการด้วย Cisco ดีเอ็นเอศูนย์"

"ผู้โจมตีสามารถใช้ช่องโหว่เหล่านี้ได้โดยการส่งคำขอ HTTP ที่เป็นอันตรายไปยังอุปกรณ์ที่ได้รับผลกระทบการใช้งานอาจทำให้ผู้โจมตีสามารถเรียกใช้คำสั่งบนระบบปฏิบัติการที่ใช้งานอยู่ได้ตามความต้องการ

แปลโดย : kirz.com

อ้างอิงจาก : zdnet.com