Cisco Systems a déployé des correctifs pour une faille de sécurité critique affectant Redundancy Configuration Manager (RCM) pour le logiciel Cisco StarOS qui pourrait être militarisée par un attaquant distant non authentifié pour exécuter du code arbitraire et prendre le contrôle de machines vulnérables.
Suivi comme CVE-2022-20649 (score CVSS : 9,0), la vulnérabilité provient du fait que le mode de débogage a été activé de manière incorrecte pour des services spécifiques.
« Un attaquant pourrait exploiter cette vulnérabilité en se connectant à l’appareil et en accédant au service avec le mode de débogage activé », a déclaré Cisco dans un avis. « Un exploit réussi pourrait permettre à l’attaquant d’exécuter des commandes arbitraires en tant qu’utilisateur root. »
Le fabricant d’équipements de réseau a cependant noté que l’adversaire devrait effectuer une reconnaissance détaillée pour permettre un accès non authentifié aux appareils vulnérables.
Déclarant que la vulnérabilité avait été découverte lors de tests de sécurité internes, Cisco a ajouté qu’il n’avait trouvé aucune preuve d’exploitation active dans des attaques malveillantes.
En plus de cela, la société a également corrigé un certain nombre d’autres défauts –
- CVE-2022-20648 (Score CVSS : 5,3) – Vulnérabilité de divulgation d’informations de débogage Cisco RCM
- CVE-2022-20685 (Score CVSS : 7,5) – Plusieurs produits Cisco reniflent la vulnérabilité de déni de service Modbus
- CVE-2022-20655 (Score CVSS : 8,8) – Vulnérabilité d’injection de commande CLI ConfD
Cisco a expliqué que CVE-2022-20655 est dû à une « validation insuffisante d’un argument de processus » sur un appareil affecté.
« Un attaquant pourrait exploiter cette vulnérabilité en injectant des commandes lors de l’exécution de ce processus », a-t-il ajouté. mentionné. « Un exploit réussi pourrait permettre à l’attaquant d’exécuter des commandes arbitraires sur le système d’exploitation sous-jacent avec les privilèges du processus de cadre de gestion, qui sont généralement des privilèges root. »
