أصدرت شركة تصنيع معدات الشبكات Cisco تحديثات أمنية لمعالجة ثلاث نقاط ضعف شديدة الخطورة في منتجاتها يمكن استغلالها للتسبب في حالة رفض الخدمة (DoS) والتحكم في الأنظمة المتأثرة.
يؤثر أول العيوب الثلاثة ، CVE-2022-20783 (درجة CVSS: 7.5) ، على برنامج Cisco TelePresence Collaboration Endpoint (CE) وبرنامج Cisco RoomOS ، وينبع من الافتقار إلى التحقق من صحة الإدخال المناسب ، مما يسمح لمهاجم عن بُعد غير مصدق عليه إرسال حركة مرور معدة خصيصًا إلى الأجهزة.
أشارت الشركة في تقرير استشاري إلى أن "الاستغلال الناجح قد يسمح للمهاجم بالتسبب في إعادة تشغيل الجهاز المتأثر بشكل طبيعي أو إعادة التشغيل في وضع الصيانة، مما قد يؤدي إلى حالة DoS على الجهاز".
تم اعتماد وكالة الأمن القومي الأمريكية (NSA) في اكتشاف الخلل والإبلاغ عنه. تمت معالجة المشكلة في إصدارات Cisco TelePresence CE Software الإصدارين 9.15.10.8 و 10.11.2.2.
CVE-2022-20773 (درجة CVSS: 7.5) ، الخلل الثاني الذي يجب تصحيحه ، يتعلق بمفتاح مضيف SSH ثابت موجود في Cisco Umbrella Virtual Appliance (VA) الذي يقوم بتشغيل إصدار برنامج أقدم من 3.3.2، مما قد يسمح للمهاجم تنفيذ هجوم man-in-the-middle (MitM) على اتصال SSH واختطاف بيانات اعتماد المسؤول.
الثغرة الثالثة عالية الخطورة هي حالة تصعيد الامتيازات في Cisco Virtualized Infrastructure Manager (CVE-2022-20732 ، درجة CVSS: 7.8) التي تمنح مهاجمًا محليًا مصدق عليه لتصعيد الامتيازات على الأجهزة. تم حلها في الإصدار 4.2.2 من البرنامج.
