Cisco, Cisco Nexus Dashboard Center Management ürününde, uzaktaki saldırganların root veya yönetici ayrıcalıklarıyla komut yürütmesine izin veren zafiyetler için bilgilendirme yaptı.
İlk güvenlik açığı (kritik önem derecesine sahip ve CVE-2022-20857 olarak izleniyoe) kimliği doğrulanmamış saldırganların, root ayrıcalıklarıyla uzaktan rastgele komutlar yürütmek için özel hazırlanmış HTTP istekleri göndererek bir API’ye erişmesine olanak tanıyor. İkinci zafiyet (web kullanıcı arayüzünde CVE-2022-20861 olarak izlenen yüksek önemdeki diğer bir güvenlik açığı) saldırganlar tarafından özel olarak hazırlanmış zararlı içeren linkleri yöneticlerin tıklamasını sağlayarak cross-site request forgery saldırıları yapmasına olanak sağlıyor. İki zafiyetinde istismar edilmesi sistemler üzerinde yönetici hakları ile kod çalıştırmasına izin veriyor.
Güvenlik açıkları Cisco Nexus Dashboard 1.1 ve sonraki sürümlerini etkiliyor. Cisco, bugün yayınlanan 2.2(1e) güvenlik güncellemesi ile zafiyetleri giderdi ve müşterilere mümkün olan en kısa sürede güncel bir sürüme geçmelerini tavsiye etti.
| Cisco Nexus Dashboard Release | First Fixed Release |
|---|---|
| 1.1 (not affected by CVE-2022-20858) | Migrate to a fixed release. |
| 2.0 | Migrate to a fixed release. |
| 2.1 | Migrate to a fixed release. |
| 2.2 | 2.2(1e) |
Cisco ayrıca Cisco Nexus Dashboard’un SSL/TLS uygulamasında, kimliği doğrulanmamış saldırganların ortadaki adam saldırılarında trafiği yakalayarak iletişimi değiştirmesine izin verebilecek dördüncü bir güvenlik açığını (CVE-2022-20860) da yamaladı.
Kaynak: bleepingcomputer.com