18. ágúst 2023

Alvarlegir veikleikar í Unified CM og Unified CM SME frá Cisco og CODESYS V3 SDK

Tilkynnt hefur verið um alvarlega veikleika í Cisco Unified Communications Manager (Unified CM), Unified Communications Manager Session Management Edition (Unified CM SME) og CODESYS V3 SDK. CERT-IS hvetur notendur til að keyra inn öryggisuppfærslur, eins fljótt og kostur er.

Veikleikar í Unified CM og Unified CM SME frá Cisco

CVE-2023-20211

Veikleikinn hefur CVSSv3 skor uppá 8.1 og er lýst sem lakri fullgildingu á ílagi frá notanda (e. improper validation of user-supplied input) sem getur heimilað SQL innspýtingu. Slíka árás mætti nýta til að auka réttindi notanda (e. privilege escalation) eða breyta gögnum í undirliggjandi gagnagrunnum. Gefinn hefur verið út kóði (e. POC) sem notfærir sér veikleikann [1,2].

Eftirfarandi útgáfur af Cicso Unified CM og Unified CM SME eru háðar veikleikanum

11.5(1)
12.5(1)
14

Eftirarandi eru uppfærsluleiðbeiningar fyrir ofangreindar útgáfur

11.5(1) – Uppfærsla ekki í boði fyrir 11.5, mælt með að uppfæra í 12.5(1)SU8
12.5(1) – uppfærslan 12.5(1)SU8
14 – Keyra upp patch ciscocm.V14SU3_CSCwe89928_sql-injection_C0194-1.cop.sha512

Veikleikar í CODESYS V3 SDK

CODESYS V3 SDK – hæsta CVSSv3 8.8

Microsoft hefur gefið út grein vegna alvarlegra veikleika í CODESYS V3 SDK þar sem þeir alvarlegustu hafa veikleikastig CVSSv3 upp á 8.8. Misnotkun á þeim getur leitt til fjarkeyrslu á kóða (e. remote code execution) og álagsárása (e. DoS) [3]. Til þess að misnota veikleikana þarf ógnaraðilinn að vera auðkenndur notandi en nú hefur verið sýnt fram að hægt er að nýta CVE-2019-9013 til þess að sniðganga auðkenningarferlið [4]. CODESYS V3 SDK er víða notað og má finna í u.þ.b. 1000 tegundum tækja [5].