Cisco avslöjade en kritisk säkerhetsbrist i sina senaste IP-telefoner, 7800- och 8800-serien, som kan tillåta angripare att utnyttja enheterna för att utföra DoS-attacker.
Indatavalideringssårbarheten har ännu inte en patch, som Cisco lovade att ta med nästa månad. Fram till dess tillkännagav företaget en begränsningslösning och varnade användare att tillämpa den efter att ha testat dess effektivitet.
RCE-fel på Cisco IP-telefoner
Nätverksjätten Cisco avslöjade idag en kritisk säkerhetsrisk i sina IP-telefoner i 7800- och 8800-serien (som kör firmware v14.2 och tidigare), där alla hackare som utnyttjar den kan fjärrexekvera godtycklig kod och utnyttja komprometterade enheter från DoS-attacker. .
Som noterats av Ciscos Product Security Incident Response Team (PSIRT), utlöses buggen i fråga (loggad som CVE-2022-20968) av Cisco Discovery Protocol-paket som tar emot otillräckliga begäranden om indatavalidering. Detta öppnar en oautentiserad väg för angränsande angripare att utnyttja och utlösa ett stackspill.
Cisco-teamet sa att de är medvetna om en proof-of-concept exploateringskod i det vilda och att sårbarheten diskuteras offentligt. Företaget bekräftar att inga exploateringsförsök har registrerats ännu och sa att en patch för detta kommer att komma i januari 2023.
Tills dess föreslog Cisco användare att inaktivera Discovery Protocol på berörda enheter i IP Phone 7800- och 8800-serien och låta dem arbeta på Link Layer Discovery Protocol (LLDP) för grannupptäckt.
Tja, företaget varnade kunder (särskilt systemadministratörer i företag) att testa den här lösningen effektivt innan de implementerade den. Han sa,.
