Vulnerabilitate de tip zero-day în tool-ul server management al Cisco

Cisco a dezvăluit astăzi o vulnerabilitate de tip zero-day în cadrul software-ului Prime Collaboration Deployment (PCD) al companiei, care poate fi exploatată în atacuri de tip cross-site scripting.

Identificată ca CVE-2023-20060, vulnerabilitatea a fost descoperită în interfața web-based management Cisco PCD 14 și a celor anterioare. Exploatarea cu succes permite atacatorilor neautentificați să lanseze atacuri de tip cross-site scripting de la distanță, dar necesită interacțiunea utilizatorului.

Cisco a publicat informații despre impactul vulnerabilității și va lansa actualizări de securitate pentru remediere în cursul lunii viitoare. Deocamdată, nu sunt disponibile soluții de remediere pentru a elimina potențialul vector de atac.

De asemenea, Cisco trebuie să remedieze o altă vulnerabilitate de tip zero-day (CVE-2022-20968) cu un grad de severitate critic pentru IP Phone.

Dispozitivele afectate de CVE-2022-20968 includ telefoanele IP Cisco 7800 și 8800 care rulează versiunile de firmware versiunea 14.2 și anterioare.

Chiar dacă Cisco nu a furnizat o soluție de remediere pentru acest zero-day, a sfătuit administratorii să dezactiveze protocolul Cisco Discovery pe dispozitivele afectate și sa utilizeze protocolul Link Layer Discovery (LLDP) ca opțiune de rezervă.

Sursă: https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/