سیسکو در خصوص پنج آسیب پذیری روز صفر در SPA 300 و SPA 500 هشدار داد

سیسکو هفتم آگوست ۲۰۲۴، طی گزارشی در خصوص پنج آسیب پذیری روز صفر بحرانی هشدار داد. این آسیب پذیری‌های RCE (اجرای کد از راه دور) در اینترفیس مدیریتی مبتنی بر وب تلفن‌های IP سری SPA 300 و SPA 500 که دیگر پشتیبانی نرم افزاری نمی‌شوند، شناسایی شده‌اند.

SPA 300 طبق پورتال پشتیبانی سیسکو، آخرین بار در فوریه 2019 به فروش رسید و سه سال بعد، در فوریه 2022، پشتیبانی آن پایان یافت. فروش و پشتیبانی دستگاه SPA 500 نیز در یکم ژوئن 2020 متوقف شد.

از این رو، کاربران این محصولات می‌بایست در اسرع وقت از مدل‌های جدیدتر و دارای پشتیبانی نرم افزاری استفاده کنند.

جزئیات آسیب پذیری‌ها

سیسکو در گزارش خود، پنج آسیب پذیری را مطرح کرده است که سه مورد آنها در دسته “بحرانی” (امتیاز CVSS v3.1: 9.8) و دو مورد دیگر در دسته “شدت بالا” (نمره CVSS v3.1: 7.5) قرار می‌گیرند.

آسیب ‌پذیری‌‌های بحرانی با‌ شناسه‌های CVE-2024-20450، CVE-2024-20452 و CVE-2024-20454 دنبال می‌‌شوند.

این آسیب ‌پذیری‌‌های سرریز بافر به یک مهاجم احراز هویت نشده از راه دور اجازه می‌‌دهند تا با ارسال یک درخواست HTTP ساخته ‌شده خاص به دستگاه مورد نظر، دستورات دلخواه را بر روی سیستم ‌عامل زیربنایی با سطح دسترسی root اجرا کند.

یک اکسپلویت موفق می‌تواند به مهاجم اجازه دهد تا موجب سر ریز یک بافر داخلی شده و دستورات دلخواه را با دسترسی root اجرا کند.

دو آسیب پذیری کشف شده با شدت بالا نیز (CVE-2024-20451 و CVE-2024-20453) به دلیل عدم بررسی کافی بسته‌های HTTP ایجاد می‌شوند که به بسته‌های مخرب اجازه می‌دهند تا دسترسی به سرویس را در دستگاه آسیب دیده مختل کنند.

به گفته سیسکو، هر پنج آسیب پذیری نام برده شده، بر روی تمام نسخه‌‌های نرم ‌افزاری در حال اجرا بر روی تلفن‌‌های IP SPA 300 و SPA 500 تأثیر می‌‌گذارند.

منابع