查看原文
其他

思科多款IP电话存在严重的Web UI RCE漏洞,有一个将不修复

Sergiu Gatlan 代码卫士 2023-05-13

 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士



思科修复了多款IP电话 Web UI 中的一个严重漏洞 (CVE-2023-20078),它可导致未认证远程攻击者用于远程代码执行攻击中。

该漏洞可使攻击者注入任意命令,在成功利用后通过root权限执行。思科指出,“成功利用可导致攻击者在受影响设备的底层操作系统上执行任意命令”。思科还在今天披露了第二个高危漏洞 (CVE-2023-20079),它可被滥用于触发拒绝服务条件。这两个漏洞均由对用户输入的验证不足导致,攻击者可向目标设备的web管理接口发送恶意构造的请求利用该漏洞。

这些漏洞是由思科ASIG团队的Zack Sanchez在内部安全测试时发现的。受影响设备包括:使用 Multiplatform Fireware的思科IP Phone 6800、7800和8800系列设备(同时易受RCE和DoS攻击)以及使用Multiplatform Firmware 的 Unified IP Conference Phone 8831、Unified IP Conference Phone 8831以及Unified IP Phone 7900系列(仅易受DoS攻击)。

思科的产品安全事件响应团队 (PSIRT) 表示,尚未发现该漏洞遭利用尝试的证据。



DoS 漏洞仍未被修复


虽然思科发布了CVE-2023-20078 RCE漏洞的安全更新,但表示不会发布CVE-2023-20079 DoS 漏洞的补丁。

思科解释称,“思科Unified IP Phone 7900系列和思科Unified IP Conference Phone 8831 已进入生命周期末期。”

思科还在去年12月称,将发布高危漏洞 (CVE-2022-20968) 的补丁和公开利用代码,该漏洞存在于运行7800和8800系列固件的思科IP电话的思科Discovery协议 (CDP) 处理特性中。

虽然CVE-2022-20968的安全更新尚未发布,但建议管理员禁用支持LLDP的受影响 IP Phone 设备上的CDP,删除攻击向量。2020年2月,思科修复了位于CDP中的五个其它RCE和DoS 漏洞。这五个漏洞被统称为 “CDPwn” 且可能影响数千万台企业设备。



代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com









推荐阅读

奇安信入选全球《软件成分分析全景图》代表厂商

思科开源杀软ClamAV中存在严重的RCE漏洞

命令注入漏洞可导致思科设备遭接管,引发供应链攻击

思科不打算修复SMB路由器中严重的认证绕过漏洞

思科ISE多个漏洞可用于一次点击exploit

思科提醒:很多严重漏洞已遭利用



原文链接

https://www.bleepingcomputer.com/news/security/cisco-patches-critical-web-ui-rce-flaw-in-multiple-ip-phones


题图:Pixabay License


本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。




奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错,就点个 “在看” 或 "赞” 吧~

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存