Ngày 21 tháng 4 năm 2023Ravie LakshmananCập nhật phần mềm / An ninh mạng
Cisco và VMware đã phát hành các bản cập nhật bảo mật để giải quyết các lỗi bảo mật nghiêm trọng trong các sản phẩm của họ mà các tác nhân độc hại có thể khai thác để thực thi mã tùy ý trên các hệ thống bị ảnh hưởng.
Lỗ hổng nghiêm trọng nhất là lỗ hổng chèn lệnh trong Giám đốc mạng công nghiệp của Cisco (CVE-2023-20036, điểm CVSS: 9,9), nằm trong thành phần giao diện người dùng web và phát sinh do xác thực đầu vào không đúng cách khi tải Gói thiết bị lên .
“Khai thác thành công có thể cho phép kẻ tấn công thực thi các lệnh tùy ý dưới dạng NT AUTHORITY\SYSTEM trên hệ điều hành cơ bản của thiết bị bị ảnh hưởng”, Cisco cho biết trong một lời khuyên được đưa ra vào ngày 19 tháng 4 năm 2023.
Chuyên gia về thiết bị mạng cũng đã giải quyết lỗ hổng quyền truy cập tệp ở mức độ nghiêm trọng trung bình trong cùng một sản phẩm (CVE-2023-20039, điểm CVSS: 5,5) mà kẻ tấn công cục bộ, đã xác thực có thể lạm dụng để xem thông tin nhạy cảm.
Các bản vá đã được cung cấp trong phiên bản 1.11.3, với việc Cisco công nhận một nhà nghiên cứu “bên ngoài” giấu tên đã báo cáo hai vấn đề.
Cũng được Cisco khắc phục là một lỗ hổng nghiêm trọng khác trong cơ chế xác thực bên ngoài của nền tảng mô phỏng mạng Modeling Labs. Được theo dõi là CVE-2023-20154 (điểm CVSS: 9,1), lỗ hổng bảo mật có thể cho phép kẻ tấn công từ xa, không được xác thực truy cập vào giao diện web bằng các đặc quyền quản trị.
Công ty lưu ý: “Để khai thác lỗ hổng này, kẻ tấn công sẽ cần thông tin xác thực người dùng hợp lệ được lưu trữ trên máy chủ xác thực bên ngoài được liên kết”.
“Nếu máy chủ LDAP được định cấu hình theo cách nó sẽ trả lời các truy vấn tìm kiếm bằng một mảng các mục phù hợp không trống (các câu trả lời chứa các mục tham chiếu kết quả tìm kiếm), thì lỗ hổng bỏ qua xác thực này có thể bị khai thác.”
Mặc dù có những giải pháp khắc phục lỗ hổng bảo mật, Cisco khuyến cáo khách hàng kiểm tra tính hiệu quả của các biện pháp khắc phục đó trong môi trường của chính họ trước khi quản lý chúng. Thiếu sót đã được vá bằng việc phát hành phiên bản 2.5.1.
VMware gửi các bản cập nhật cho Aria Operations for Logs
VMware, trong một tư vấn được phát hành vào ngày 20 tháng 4 năm 2023, đã cảnh báo về một lỗ hổng khử lưu huỳnh nghiêm trọng ảnh hưởng đến nhiều phiên bản của Aria Operations for Logs (CVE-2023-20864, điểm CVSS: 9,8).
Nhà cung cấp dịch vụ ảo hóa cho biết: “Một tác nhân độc hại, không được xác thực có quyền truy cập mạng vào VMware Aria Operations for Logs có thể thực thi mã tùy ý với quyền root”.
VMware Aria Operations for Logs 8.12 sửa lỗ hổng này cùng với lỗ hổng chèn lệnh mức độ nghiêm trọng cao (CVE-2023-20865, điểm CVSS: 7.2) có thể cho phép kẻ tấn công có đặc quyền quản trị viên chạy các lệnh tùy ý với quyền root.
“CVE-2023-20864 là một vấn đề nghiêm trọng và cần được vá ngay lập tức,” công ty cho biết. “Cần nhấn mạnh rằng chỉ có phiên bản 8.10.2 bị ảnh hưởng bởi lỗ hổng này.”
Cảnh báo được đưa ra gần ba tháng sau khi VMware khắc phục hai sự cố nghiêm trọng trong cùng một sản phẩm (CVE-2022-31704 và CVE-2022-31706, điểm CVSS: 9,8) có thể dẫn đến việc thực thi mã từ xa.
Với việc các thiết bị của Cisco và VMware trở thành mục tiêu sinh lợi cho các tác nhân đe dọa, người dùng nên nhanh chóng áp dụng các bản cập nhật để giảm thiểu các mối đe dọa tiềm ẩn.
