Cisco telah mengatasi kerentanan keamanan kritis yang ditemukan di UI Web dari beberapa model Telepon IP yang dapat dieksploitasi oleh penyerang yang tidak diautentikasi dan jarak jauh dalam serangan eksekusi kode jarak jauh (RCE).
Cacat RCE (CVE-2023-20078) memungkinkan penyerang menyuntikkan perintah sewenang-wenang yang akan dieksekusi dengan hak akses root setelah eksploitasi berhasil.
“Eksploitasi yang berhasil memungkinkan penyerang untuk mengeksekusi perintah sewenang-wenang pada sistem operasi yang mendasari perangkat yang terpengaruh,” Cisco dikatakan Hari ini.
Perusahaan juga mengungkapkan hari ini kerentanan tingkat tinggi kedua (CVE-2023-20079) yang dapat disalahgunakan untuk memicu kondisi denial-of-service (DoS).
Kedua bug tersebut disebabkan oleh validasi input yang diberikan pengguna yang tidak mencukupi dan dapat dieksploitasi menggunakan permintaan yang dibuat dengan jahat yang dikirim ke antarmuka manajemen berbasis web perangkat yang ditargetkan.
Kerentanan keamanan ditemukan oleh Zack Sanchez dari Cisco Advanced Security Initiatives Group (ASIG) selama pengujian keamanan internal.
Daftar perangkat yang terpengaruh termasuk perangkat seri Cisco IP Phone 6800, 7800, dan 8800 dengan Multiplatform Firmware (rentan terhadap serangan RCE dan DoS), dan Unified IP Conference Phone 8831, Unified IP Conference Phone 8831 dengan Multiplatform Firmware, dan Unified IP Telepon Seri 7900 (hanya rentan terhadap serangan DoS).
Tim Respons Insiden Keamanan Produk (PSIRT) perusahaan menambahkan bahwa mereka belum melihat bukti upaya untuk mengeksploitasi kelemahan keamanan ini dalam serangan.
Kerentanan denial-of-service tetap tidak ditambal
Sementara Cisco merilis pembaruan keamanan untuk mengatasi kerentanan CVE-2023-20078 RCE, perusahaan mengatakan tidak akan merilis tambalan untuk memperbaiki kelemahan DoS CVE-2023-20079.
“Cisco Unified IP Phone 7900 Series dan Cisco Unified IP Conference Phone 8831 telah memasuki proses akhir masa pakainya,” jelas perusahaan tersebut.
Cisco juga mengumumkan pada bulan Desember bahwa itu akan merilis tambalan untuk kerentanan zero-day dengan tingkat keparahan tinggi (CVE-2022-20968) dengan kode eksploit publik yang ditemukan dalam fitur pemrosesan Cisco Discovery Protocol (CDP) dari Cisco IP Phones yang menjalankan firmware Seri 7800 dan 8800.
Meskipun pembaruan keamanan untuk CVE-2022-20968 belum tersedia, admin disarankan untuk menonaktifkan CDP pada perangkat IP Phone yang terpengaruh yang mendukung Link Layer Discovery Protocol (LLDP) untuk menghapus vektor serangan.
Pada bulan Februari 2020, Cisco menambal lima kerentanan RCE dan DoS lainnya di Cisco Discovery Protocol, yang secara kolektif dikenal sebagai CDPwn dan berpotensi memengaruhi puluhan juta perangkat perusahaan.
