444/66 (IT) ประจำวันจันทร์ที่ 9 ตุลาคม 2566
Cisco ได้ออกอัปเดตด่วนเพื่อแก้ไขช่องโหว่ระดับ critical ที่ส่งผลกระทบต่อระบบ Emergency Responder ซึ่งช่วยให้ผู้โจมตีจากระยะไกลที่ไม่ได้รับรองความถูกต้องสามารถเข้าใช้ระบบได้โดยใช้ข้อมูลประจำตัวแบบ hard-coded ที่หมายเลขช่องโหว่ CVE-2023-20101 ( คะแนน CVSS: 9.8 ) โดยที่ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้จากการใช้บัญชีเพื่อเข้าสู่ระบบที่ได้รับผลกระทบและหากมีการใช้ประโยชน์สำเร็จอาจทำให้ผู้โจมตีเข้าสู่ระบบที่ได้รับผลกระทบและจะสามารถ execute arbitrary command ในฐานะ root
ช่องโหว่ดังกล่าวจะส่งผลกระทบต่อ Cisco Emergency Responder รุ่น 12.5(1)SU4 และได้รับการแก้ไขแล้วในเวอร์ชัน 12.5(1)SU5 ซึ่งในผลิตภัณฑ์รุ่นอื่นๆ จะไม่ได้รับผลกระทบ โดยการเปิดเผยดังกล่าวเกิดขึ้นไม่ถึงหนึ่งสัปดาห์หลังจากที่ Cisco ได้เตือนถึงการใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ IOS และซอฟต์แวร์ IOS XE ( CVE-2023-20109 คะแนน CVSS: 6.6 ) ซึ่งอาจอนุญาตให้ผู้โจมตีระยะไกลที่ผ่านการรับรองความถูกต้องสามารถ execute arbitrary command จากระบบที่ได้รับผลกระทบ โดยที่ผู้ใช้งานควรรีบดำเนินการอัปเดตเป็นเวอร์ชันล่าสุดเพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้น
แหล่งข่าว https://thehackernews.com/2023/10/cisco-releases-urgent-patch-to-fix.html
