اخبار

سیسکو وصله ای برای آسیب پذیری شش ماهه در IOS XE منتشر کرد.

خلاصه: حضور آسیب پذیری به یک مهاجم احراز هویت نشده‌، امکان ورود به دستگاه بخصوص در هنگام بوت اولیه را می‌دهد تا کنترل سامانه‌های آسیب دیده را بدست بگیرد.

سیستم مشاوره‌ایی سیسکو دومین هشدار را در خصوص بحران حیاتی در نرم افزار IOS XE را به کاربران اعلام کرد که به مهاجم احراز هویت نشده این امکان را می‌دهد تا سیستم مورد نظر دسترسی پیدا کند. بولتن امنیتی بیش از ۶ ماه پس از گزارش اولین نقض بحرانی، آن را اعلام و تعمیر کرد.

به طور جداگانه‌ایی، این غول شبکه‌ایی، نقض‌های متعددی در نرم افزار آنلاین WebEx را معرفی کرد.( Webex سرویس امکان برقراری جلسات چند رسانه ایی برای افراد در سراسر جهان بدون نیاز به حضور فیزیکی).

دومین هشدار

دومین هشدار شرکت سیسکو درماه مارس، در خصوص بروز نقض در روتر مجازی سیسکو ISRv با کد تعمیر جداگانه است. ISR، روتر مجازی سیسکو با خدمات نرم افزاری IOS XE است که، درگاه‌های WAN و سرویس‌های شبکه را به محیط مجازی نشان می‌دهد. نرم افزار IOS XE نسخه‌ی جدیدتر سیسکو از IOS است که در سال ۲۰۰۸ معرفی شد. این نرم افزار مبتنی بر سرور لینوکس است و دارای ویژگی‌های جدیدی نسبت به نسخه‌های قدیمی تر آن است. این نرم افزار انعطاف پذیر برای کنترل سازمانی از جمله، دسترسی‌های سیمی و بی سیم، متراکم، شبکه های اصلی و WAN به کار می‌رود.

با توجه به آسیب پذیری‌های بحرانی که توسط سامانه‌های مدیریتی و مشاوره‌ایی سیسکو در روز چهارشنبه گزارش شد، مشخص شده است که، این آسیب پذیری به مهاجم احراز هویت نشده، این امکان را می‌دهد تا به دستگاه آسیب دیده که نرم افزار IOS XE با نام کاربری و گذر واژه‌ی پیش فرض (در هنگام بوت اولیه) اجرا می‌شود، ورود پیدا کند.

سیسکو این نقض بحرانی را به یک حساب کاربری ویژه و مستند نشده، با امکان دسترسی به نام کاربری و رمز عبور پیش فرض نسخه برداری می‌کند. مهاجم می‌تواند با استفاده از این حساب کاربری به دستگاه آسیب دیده از راه دور متصل شود و از آسیب پذیری موجود سوءاستفاده کند.

سیسکو هشدار داد؛ یک بهره برداری موفقیت آمیز به مهاجم این امکان را می دهد که با دسترسی‌های سطح ۱۵ وارد دستگاه شود.

Privilege Level 15 – سطح دسترسی ۱۵ – این سطح برای دسترسی و کنترل همه جانبه‌ی دستگاه سیسکو مانند روتر است. این سطح بالاترین امتیاز یک کاربر است که می‌تواند در مقایسه با سطح ۱ که تنها امکان دسترسی به روتر و یا امکان دسترسی محدود به خواندن است را داشته باشد.

سیسکو بیان کرد، این آسیب پذیری (CVE-2018-0150) دستگاه‌های سیسکو را که یک نسخه‌ی آسیب پذیر نرم افزار IOS XE سیسکو نسخه ی x.16 را اجرا می کند را تحت تاثیر قرار می دهد. این آسیب پذیری نرم افزار IOS XE سیسکو، نسخه‌های قبل تر نسخه‌ی x.16 را تحت تاثیر قرار نمی‌دهد. مانند: IOS Cisco -IOS XR – نرم افزار NX-OS.

این آسیب پذیری ابتدا در مارس ۲۰۱۸ ظاهر شد و بخشی از انتشار بسته‌ی مشاوره‌ایی امنیت نرم افزاری سیسکو به شمار می رود.

نقض بحرانی در سیستم امتیاز دهی آسیب پذیری عام، نمره ی ۹٫۸ از ۱۰ را به خود اختصاص داده است. خوشبختانه ، سیسکو اعلام کرده است که ، برای رفع آسیب پذیری  CVE-2018-0150 هم راهکار و هم وصله ی امنیتی ارایه کرده است. برای رفع این آسیب پذیری، مدیران می‌توانند با استفاده از دستور no username cisco در پیکر بندی دستگاه، حساب پیش فرض را حذف کنند. هم چنین ممکن است مدیران با وارد شدن به دستگاه و تغییر گذر واژه‌ی این حساب پیش فرض، این آسیب پذیری را رفع کنند.

نقض WebEx

در روز چهارشنبه، سیسکو هم چنین بخش‌هایی از نقض پردازش فایل ضبط کننده  شبکه سیسکو WebEx را صادر کرد. CVE-2018-15414 ،CVE-2018-15421،.CVE-2018-15422

هر یک از نقض‌های بالا دارای شدت بالای آسیب پذیری در سیستم امتیاز دهی آسیب پذیری با نمره ی ۷٫۸ از ۱۰ است.

براساس گفته‌ی سیستم مشاوره‌ایی و امنیتی سیسکو، آسیب پذیری های چندگانه در سرویس های کنفرانس تحت وب یا WebEx ( با تنوع سرویس ها و خدماتی نظیر ، پشتیبانی از تمامی ارتباطات صوتی و تصویری ، اشتراک گذاری اسناد و غیره) به مهاجم امکان اجرای کدهای دلخواه مخرب از راه دور را بروی سیستم هدف می‌دهد تا کنترل کامل دستگاه به دست بگیرد.

این آسیب پذیری‌ها ناشی از اعتبار سنجی نادرست داده‌های بسته است که مهاجم می‌تواند از این آسیب پذیری برای به اشتراک گذاشتن فایل‌های مخرب (Cisco WebEx Player) سوء استفاده کند.

یک حمله موفقیت آمیز به مهاجم امکان اجرای کد مخرب بر روی سیستم آسیب دیده را می‌دهد. بروزرسانی‌های نرم افزاری برای رفع آسیب پذیری‌های Cisco WebEx Meeting suite Sites–Cisco WebEx Meeting Online Sites –Cisco WebEx Meeting Server را در دسترس قرار می‌دهد اما هیچ راه حلی برای انها ارایه نکرده است.

 

بیشتر بخوانید:

نسرین ذاکری
نویسندهنسرین ذاکری

دیدگاهتان را بنویسید