Η Cisco κυκλοφόρησε μία προειδοποίηση για πολλαπλές ευπάθειες στο Small Business Switches, οι οποίες μπορούν να επιτρέψουν σε έναν εισβολέα να έχει απομακρυσμένη πρόσβαση σε ευαίσθητες πληροφορίες με τις συσκευές και να προκαλεί συνθήκες DoS.
Ευπάθεια CVE-2019-15993
Η συγκεκριμένη ευπάθεια, οφείλεται στην έλλειψη επικύρωσης ασφαλείας με στοιχεία ελέγχου ταυτότητας για την πρόσβαση στο web UI.
Ένας εισβολέας θα μπορούσε να εκμεταλλευτεί την ευπάθεια για να στείλει ένα κακόβουλο αίτημα HTTP στο κακόβουλο web UI κι έτσι μπορεί να έχει πρόσβαση σε πληροφορίες σχετικά με τη συσκευή, όπως αρχεία ρυθμίσεων.
Ευάλωτα προϊόντα
Τα προϊόντα της Cisco που επηρεάζονται από αυτή την ευπάθεια, εφόσον εκτελούν έκδοση firmware πριν από την έκδοση 2.5.0.92 είναι τα εξής:
250 Series Smart Switches
350 Series Managed Switches
350X Series Stackable Managed Switches
550X Series Stackable Managed Switches
Επιπλέον επηρεάζει τα ακόλουθα προϊόντα της Cisco εάν εκτελούν έκδοση λογισμικού πριν από την έκδοση 1.4.11.4:
200 Series Smart Switches
300 Series Managed Switches
500 Series Stackable Managed Switches
Η Cisco κυκλοφόρησε ενημερώσεις ασφαλείας για να διορθώσει την ευπάθεια και επιβεβαίωσε ότι υπάρχει κακόβουλη χρήση της.
Ευπάθεια CVE-2020-3147 – DoS
Η ευπάθεια οφείλεται στην έλλειψη αιτημάτων επικύρωσης στο web UI. Επιτρέπει σε έναν απομακρυσμένο εισβολέα που δεν έχει υποβληθεί σε έλεγχο ταυτότητας, να πραγματοποιήσει μία επίθεση DoS στη συσκευή που έχει προσβληθεί.
Ευάλωτα προϊόντα
Αυτή η ευπάθει επηρεάζει τα ακόλουθα προϊόντα της Cisco εάν εκτελούν έκδοση firmware πριν από την έκδοση 1.3.7.18:
200 Series Smart Switches
300 Series Managed Switches
500 Series Stackable Managed Switches
Ποια προϊόντα δεν είναι ευάλωτα
Μόνο όσα προϊόντα περιλαμβάνονται στην λίστα με τα “Ευάλωτα προϊόντα” που κυκλοφόρησε η Cisco είναι γνωστό ότι επηρεάζονται από αυτήν την ευπάθεια.
Η Cisco επιβεβαίωσε ότι αυτή η ευπάθεια δεν επηρεάζει τα παρακάτω προϊόντα της:
250 Series Smart Switches
350 Series Managed Switches
350X Series Stackable Managed Switches
550X Series Stackable Managed Switches
Η Cisco δημοσίευσε ενημερώσεις για να διορθώσει την ευπάθεια και επιβεβαίωσε ότι δεν υπάρχει κακόβουλη χρήση της ευπάθειας.
