Cisco заявляет, что ее инструмент управления сервером имеет серьезную уязвимость в безопасности
27 апреля 2023 г.Cisco сообщила об обнаружении уязвимости нулевого дня в одном из своих продуктов, которая может привести к удаленному запуску злоумышленниками вредоносного кода или краже конфиденциальных данных у цели endpoints.
Уязвимость была обнаружена в продукте Prime Collaboration Deployment (PCD), инструменте, используемом ИТ-специалистами. для миграции или обновления своих серверов. Уязвимость теперь отслеживается как CVE-2023-20060 и считается «средней» серьезности с оценкой 6,1. Она описывается как уязвимость межсайтового скриптинга, которой можно злоупотреблять для запуска произвольного кода.
Однако исправление все еще находится в разработке, и обходных путей для этой проблемы нет.
Требуется взаимодействие жертвы
Типичная атака с межсайтовым скриптингом (XSS) представляет собой форму внедрения, когда субъект угрозы внедряет вредоносный скрипт в законный, чистый веб-сайт, которому доверяют пользователи.
"Эта уязвимость существует из-за того, что веб-интерфейс управления не проверяет должным образом введенные пользователем данные. Злоумышленник может воспользоваться этой уязвимостью, убедив пользователя интерфейса щелкнуть созданную ссылку», — заявили в Cisco.
"Успешный эксплойт может позволить злоумышленнику выполнить произвольный код скрипта в контексте уязвимого интерфейса или получить доступ к конфиденциальной информации в браузере."
Другими словами, уязвимость можно использовать, но это зависит от действий жертвы. Злоумышленнику нужно будет убедить жертву щелкнуть специально созданную вредоносную ссылку.
Компания заявила, что исправление находится в разработке, но не сообщила сроки, когда оно может быть выпущено. Обходных путей нет.
Хотя это может показаться проблематичным, группа реагирования на инциденты, связанные с безопасностью продуктов Cisco (PSIRT), не обнаружила доказательств того, что уязвимость используется в реальных условиях.
Уязвимость была обнаружена Пьером Вивеньо из Центр кибербезопасности НАТО (NCSC), говорится в сообщении Cisco.
.Через: BleepingComputer
Оригинал