ترمیم آسیبپذیریهای ۶ محصول سیسکو
شرکت سیسکو با ارائهی سه وصله برای محصولات خود، به ترمیم آسیبپذیریهایی پرداخت که میتوانستند منجر به انسداد سرویس و اجرای کد از راهدور و سرقت اطلاعات شوند. طبق معمول تیم واکنش به رخداد امنیتی محصولات سیسکو (PSIRT) در وبگاه اطلاعرسانی خود در مورد این آسیبپذیریها توضیحاتی را منتشر ساخت.
اولین وصله برای رفع یک آسیبپذیری ارائه شده است که حداقل چهار محصول سیسکو، از جمله Business Edition 3000، Identity Services Engine (ISE)، Media Experience Engine (MXE) و Unified SIP Proxy (CUSP) به آن دچار بودهاند.
تمام این محصولات از یک نسخهی آسیبپذیر آپاچی استراتس ۲ استفاده میکنند که میتوان از آنها برای حمله و اجرای کدهای دلخواه بر روی سامانه سوءاستفاده کرد. تمام کاری که مهاجم نیاز به انجام آن دارد، ارسال درخواستهای OGNL است. OGNL یک زبان جاوا است که به مهاجمین اجازه میدهد به اشیای داده دسترسی پیدا کرده و با استفاده از آنها کدهایی را در سمت کارگزار ایجاد و تزریق کنند.
گمان میشد این مشکل ماه گذشته توسط آپاچی رفع شده باشد، اما تا اواخر هفتهی گذشته و ارائهی نسخهی 2٫۳٫۱۵٫۳ استراتس رفع نشد.
سامانهی ISE این شرکت علاوه بر اینکه دچار آسیبپذیری گفته شده است، دو آسیبپذیری دیگر نیز دارد. ISE یک بستر کنترل سیاستها است که توسط متخصصین فناوری اطلاعات برای مدیریت حسابها استفاده میشود. این سامانه دچار آسیبپذیریهایی است که امکان اجرای کدهای دلخواه را فراهم کرده و همچنین بدون اعتبارسنجی، امکان بارگیری اطلاعات پشتیبانی را میدهد. این دو آسیبپذیری به مهاجم امکان اجرای کد بر روی سامانه و دسترسی به اطلاعات کاربران و سایر اطلاعات سامانه را میدهند. هر دوی این آسیب پذیریها با وصلهی دوم سیسکو رفع شدهاند.
وصلههای سیسکو تمام این مشکلات را رفع میکنند، به جز آسیبپذیری استراتس در Business Edition 3000. اجرای حمله با استفاده از این آسیبپذیری برای مهاجمان کمی سختتر است، زیرا مهاجم باید دارای یک حساب کاربری معتبر بوده و یا یک کاربر با حساب معتبر را برای اجرای یک URL معتبر ترغیب کند. به کاربرانی که از این نرمافزار استفاده میکنند توصیه شده است با نمایندگان سیسکو تماس گرفته و از آنها در مورد راهحلهای پیش روی خود سؤال کنند.
با وجود آنکه تیم PSIRT سیسکو ادعا میکند از این آسیبپذیری سوءاستفاده نشده است، چندین هفته است که یک کد به عنوان نمونهی امکانپذیری اجرای حمله در اینترنت و حتی در صفحهی رسمی آپاچی استراتس ۲ منتشر شده است.
