Cisco phát hành bản vá cho ba lỗ hổng nghiêm trọng

Mới đây, Cisco vừa phát hành các bản cập nhật để vá ba lỗ hổng có mức độ nghiêm trọng trong các sản phẩm của mình. Các lỗ hổng này có thể dẫn tới tấn công từ chối dịch vụ (DoS) và kiểm soát các hệ thống bị ảnh hưởng.

Lỗ hổng đầu tiên định danh CVE-2022-20783 có điểm CVSS 7,5, ảnh hưởng đến phần mềm Cisco TelePresence Collaboration Endpoint (CE) và Cisco RoomOS, bắt nguồn từ việc thiếu xác thực đầu vào thích hợp. Nếu khai thác thành công lỗ hổng, tin tặc có thể khởi động hoặc khởi động lại thiết bị ở chế độ bảo trì, điều này có thể dẫn đến tình trạng DoS trên thiết bị.

Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) đã phát hiện lỗ hổng này. Ngay lập tức, Cisco đã giải quyết lỗ hổng trong các phiên bản Cisco TelePresence CE 9.15.10.8; 10.11.2.2.

Lỗ hổng thứ hai có định danh CVE-2022-20773 có điểm CVSS 7,5, liên quan đến SSH host key có trong Cisco Umbrella Virtual Appliance (VA) chạy phiên bản phần mềm trước 3.3.2, cho phép tin tặc thực hiện tấn công man-in-the-middle (MitM) trên kết nối SSH và chiếm đoạt thông tin đăng nhập của quản trị viên.

Lỗ hổng nghiêm trọng cuối cùng định danh CVE-2022-20732, có điểm CVSS 7,8. Đây là lỗ hổng leo thang đặc quyền trong Cisco Virtualized Infrastructure Manager. Khai thác thành công có thể cho phép kẻ tấn công có được thông tin đăng nhập cơ sở dữ liệu nội bộ, xem và sửa đổi nội dung của cơ sở dữ liệu. Kẻ tấn công có thể sử dụng quyền truy cập này vào cơ sở dữ liệu để nâng cao các đặc quyền trên thiết bị bị ảnh hưởng. Lỗ hổng đã được vá trong phiên bản 4.2.2 của phần mềm.

Cisco cũng vá 10 lỗ hổng có mức độ nghiêm trọng trung bình trong danh mục sản phẩm của mình, bao gồm Webex Meeting, Unified Communications Products, Umbrella Secure Web Gateway và IOS XR Software.

Thanh Thanh (T/h)