Cisco en VMware brengen kritieke beveiligingsupdates uit. VMware heeft onlangs beveiligingspatches uitgebracht voor drie kwetsbaarheden in Aria Operations for Networks, die kunnen leiden tot openbaarmaking van gegevens en uitvoering van code op afstand.
De meest kritieke kwetsbaarheid onder de drie is een fout in de opdrachtinjectie die bekend staat als CVE-2023-20887, met een CVSS-score van 9,8. Een kwaadwillende met netwerktoegang kan op afstand willekeurige code uitvoeren door misbruik te maken van deze kwetsbaarheid.
VMware heeft ook een ander deserialisatiekwetsbaar punt verholpen, CVE-2023-20888, dat een CVSS-score van 9,1 uit 10 kreeg op het scoresysteem.
Volgens de advisory van VMware kan een aanvaller met netwerktoegang tot VMware Aria Operations for Networks en geldige ‘member’ rolgegevens een deserialisatie-aanval uitvoeren, wat resulteert in het op afstand uitvoeren van code.
Het derde beveiligingsprobleem is een zeer ernstige bug die informatie openbaar maakt (CVE-2023-20889, CVSS-score: 8,8). Hiermee kan een aanvaller met netwerktoegang een commando-injectieaanval uitvoeren en ongeautoriseerde toegang krijgen tot gevoelige gegevens.
Deze drie kwetsbaarheden zijn van invloed op versie 6.x van VMware Aria Operations Networks. Het bedrijf heeft de problemen echter opgelost in de volgende versies: 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 en 6.10. Er zijn geen oplossingen bekend voor deze kwetsbaarheden en dat is jammer.
Cisco heeft ook fixes uitgebracht voor een kritieke fout in zijn Expressway Series en TelePresence Video Communication Server (VCS). Door deze kwetsbaarheid (CVE-2023-20105, CVSS-score: 9.6) kan een geauthenticeerde aanvaller met alleen-lezen beheerdersrechten zijn rechten verhogen tot beheerder met lees- en schrijfrechten.
Een aanvaller kan de wachtwoorden van elke gebruiker op het netwerk wijzigen, zelfs van een lees-schrijf-gebruiker van een beheerder, door gebruik te maken van een zwakte in de autoriteitscascade als gevolg van onjuiste afhandeling van wachtwoordwijzigingsverzoeken en vervolgens de identiteit van die gebruiker aan te nemen.
Bovendien is hetzelfde product getroffen door een ander kwetsbaar punt met een hoge ernst (CVE-2023-20192, CVSS-score: 8.4). In dit geval kan een geauthenticeerde lokale aanvaller commando’s uitvoeren en systeemconfiguratieparameters wijzigen.
Cisco adviseert om de toestemming voor de Command Line Interface (CLI) voor alleen-lezen personen te blokkeren als tijdelijke oplossing voor CVE-2023-20192. Cisco heeft beide problemen opgelost in versie 14.2.1 en 14.3.0 van VCS.
Hoewel er geen aanwijzingen zijn dat iemand misbruik heeft gemaakt van deze kwetsbaarheden, raden we sterk aan om de patches onmiddellijk toe te passen om mogelijke risico’s te minimaliseren.
Deze adviezen komen na de ontdekking van drie beveiligingslekken in RenderDoc (CVE-2023-33863, CVE-2023-33864 en CVE-2023-33865), een open-source grafische debugger. Door deze kwetsbaarheden kunnen aanvallers verhoogde rechten krijgen en willekeurige code uitvoeren.
0 Comments