Cisco hat einen kritischen Sicherheitsfehler in Unity Connection gepatcht, der es nicht authentifizierten Angreifern ermöglicht, aus der Ferne Root-Privilegien auf ungepatchten Geräten zu erlangen.
Unity Connection ist eine vollständig virtualisierte Messaging- und Voicemail-Lösung für E-Mail-Postfächer, Webbrowser, Cisco Jabber, Cisco Unified IP-Telefone, Smartphones oder Tablets mit hoher Verfügbarkeit und Redundanzunterstützung.
Die Schwachstelle (CVE-2024-20272) wurde in der webbasierten Verwaltungsschnittstelle der Software entdeckt. Sie ermöglicht es Angreifern, Befehle im zugrunde liegenden Betriebssystem auszuführen, indem sie beliebige Dateien auf gezielten und anfälligen Systemen hochladen.
„Diese Schwachstelle ist auf einen Mangel an Authentifizierung in einer bestimmten API und unzureichende Validierung von benutzergenerierten Daten zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er beliebige Dateien auf einem betroffenen System hochlädt“, erklärt Cisco.
„Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, bösartige Dateien auf dem System zu speichern, beliebige Befehle im Betriebssystem auszuführen und die Privilegien auf Root zu erhöhen.“
Glücklicherweise teilte Ciscos Product Security Incident Response Team (PSIRT) mit, dass das Unternehmen keine Hinweise auf öffentliche Proof-of-Concept-Exploits für diese Schwachstelle oder aktive Ausnutzung in der Praxis hat.
Command-Injection-Fehler mit PoC-Exploit
Heute hat Cisco auch zehn Sicherheitslücken mit mittlerem Schweregrad in mehreren Produkten gepatcht, die es Angreifern ermöglichen, Privilegien zu eskalieren, Cross-Site-Scripting (XSS)-Angriffe durchzuführen, Befehle einzuschleusen und mehr.
Für einen dieser Fehler, eine Command-Injection-Schwachstelle mit der Bezeichnung CVE-2024-20287 in der webbasierten Verwaltungsschnittstelle von Ciscos WAP371 Wireless Access Point, ist laut dem Unternehmen online ein Proof-of-Concept-Exploit-Code verfügbar.
Obwohl Angreifer diesen Fehler ausnutzen könnten, um auf ungepatchten Geräten beliebige Befehle mit Root-Privilegien auszuführen, sind für eine erfolgreiche Ausnutzung auch administrative Anmeldeinformationen erforderlich.
Cisco gibt an, dass keine Firmware-Updates veröffentlicht werden, um die Sicherheitslücke CVE-2024-20287 zu beheben, da das Cisco WAP371-Gerät im Juni 2019 das Ende seiner Lebensdauer erreicht hat.
Das Unternehmen rät Kunden mit einem WAP371-Gerät in ihrem Netzwerk, auf den Cisco Business 240AC Access Point umzusteigen.
Im Oktober hat Cisco auch zwei Zero-Day-Schwachstellen (CVE-2023-20198 und CVE-2023-20273) gepatcht, die ausgenutzt wurden, um innerhalb einer einzigen Woche über 50.000 IOS XE-Geräte zu hacken.
