Cisco hefur tilkynnt um veikleika í ýmsum Cisco hugbúnaði sem það hefur lagað í uppfærslupakka sem kom út í september. Flestar lagfæringarnar eru fyrir IOS og IOS XE, en einnig voru veikleikar í Cisco SD-WAN Manager hugbúnaðinum lagfærðir.
Tilkynnt hefur verið um veikleika í Nagios XI sem gerir ógnaraðila kleift að hækka réttindi notanda (e. privilege escalation) og skoða gögn í gagnagrunni eins og lykilorð (e. password hashes) og aðgangslykla (e. API tokens).
Rannsakendur frá Apple og Citizens Labs í Kanada uppgötvuðu að ógnaraðilar voru að nýta veikleika í libwebp kóðasafni frá Google til innbrota í snjallsíma.
CERT-IS mælir með að uppfæra án tafar og fylgja leiðbeiningum framleiðenda.
Cisco veikleikar
Cisco gaf út uppfærslupakka í september sem lagaði ýmsar villur og veikleika sem voru alls 13 talsins með CVSS einkunn frá 6.1 til 9.8.
CERT-IS vill vekja athygli á veikleikum í meðhöndlun á Multicast yfir IPv6 [1] og L2TP [2] sem getur leitt til álagsárása.
Nokkrir veikleikar, og þar með talið mjög alvarlegir veikleikar, eru til staðar í Cisco SD-WAN Manager hugbúnaði sem getur leitt til þess að hægt er að fara fram hjá auðkenningu, bakka með stillingar á búnaði, sjá gögn í tengdum gagnagrunni og fleira [3,4]. Einnig er hægt að hækka réttindi notenda (e. elevation of privileges) í ISO XE Web UI [5].
Veikleiki er í Cisco IOS og IOS XE Group Encrypted Transport VPN sem getur leitt til að hægt sé að keyra kóða á viðkomandi tæki (e. arbitrary code execution) [6]. Fyrir þennan seinasta veikleika hefur Cisco náð að misnota veikleikann og séð tilraunir til misnotkunar á veikleikanum.
Tilvísanir:
[1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-mlre-H93FswRz
[2] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-xe-l2tp-dos-eB5tuFmV
[3] https://www.itnews.com.au/news/cisco-patches-catalyst-sd-wan-vulnerabilities-600684
[4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-vman-sc-LRLfu2z
[5] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webui-cmdij-FzZAeXAy
[6] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-getvpn-rce-g8qR68sx
Veikleikar í Nagios XI
Veikleikar í Nagios XI gera ógnaraðila kleift að hækka réttindi notanda (e. privilege escalation) og skoða gögn í gagnagrunni, eins og lykilorð (e. password hashes) og aðgangslykla (e. API tokens).
Búið er að gefa út uppfærslu af Nagios XI (5.11.2) sem fyrirtæki eru hvött til að uppfæra í sem fyrst.
Frekari upplýsingar:
https://thehackernews.com/2023/09/critical-security-flaws-exposed-in.html?_hsmi=275688318
Veikleiki í libwebp
libwebp kóðasafnið frá Google var með villu sem árásaraðilar voru að nota til að brjótast inn í síma fórnarlamba sinna. Innbrotin flokkast sem snertilaus innbrot því nóg var að senda illgjarna WebP mynd sem misnotar villuna til að taka yfir keyrslu forritsins.
Veikleikinn er sérstaklega hættulegur því libwebp kóðasafnið fylgir með flestum af vinsælustu vefvöfrum í dag ásamt mörgum af vinsælustu samskiptaforritum fyrir snjallsíma. Hér má sjá lítinn lista af forritum sem notast við libwebp: Chrome, Slack, Safari, Signal, Thunderbird, Firefox, Edge, Opera, Electron, iMessage og fleira. Í stuttu máli, ef forrit getur birt myndir og ef það styður WebP myndir þá eru allar líkur á að libwebp sé notað til þess og því er veikleikinn til staðar í því forriti.
Google tilkynnti [1] upphaflega um veikleikann sem CVE-2023-4863 [2] en sögðu að veikleikinn næði eingöngu til Google Chrome vefvafrans. Mikil umræða skapaðist í kjölfarið þar sem mörgum þótti það rangt því veikleikinn var í kóðasafninu libwebp sem olli því að Google gaf út nýja tilkynningu, merkt CVE-2023-5129 [3], en sú tilkynning var svo dregin til baka og upprunanlega tilkynningin uppfærð.
Því eru skiptar skoðanir um hvort tala eigi um þetta sem veikleikann CVE-2023-4863 eða CVE-2023-5129 en lesa má nánar um veikleikann í samantekt frá Tenable [4].
Tilvísanir:
[1] https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-4863
[3] https://nvd.nist.gov/vuln/detail/CVE-2023-5129
[4] https://www.tenable.com/blog/cve-2023-41064-cve-2023-4863-cve-2023-5129-faq-imageio-webp-zero-days
