Cisco corrige des failles dans Webex et une caméra de sécurité

Cisco a publié des correctifs pour des vulnérabilités de haute gravité affectant son système de visioconférence Webex, ses caméras IP de vidéosurveillance et son produit d’administration réseau Identity Services Engine.

Dans l’ensemble, Cisco a adressé les trois failles de gravité élevée ainsi que 11 vulnérabilités de gravité moyenne.

La plus grave d’entre elle est une faille (CVE-2020-3544) dans les caméras IP de surveillance vidéo de la gamme 8000 de Cisco, qui a une note de 8,8 sur 10 sur l’échelle CVSS.

«Une vulnérabilité dans la mise en œuvre du protocole de découverte Cisco [CDP] pour les caméras IP de surveillance vidéo Cisco 8000 pourrait permettre à un attaquant adjacent non authentifié d’exécuter du code arbitraire sur un périphérique affecté ou de provoquer le rechargement du périphérique», selon l’avis de sécurité de Cisco.

Le CDP est un outil de découverte de réseau qui aide les administrateurs réseau à identifier les périphériques Cisco voisins. La vulnérabilité est due à des vérifications manquantes lorsqu’une caméra IP traite un paquet CDP.

cisco

Pour exploiter la faille, un attaquant n’a pas besoin d’être authentifié. Cependant, la personne doit être dans le même domaine de diffusion que le périphérique affecté – comme CDP est un protocole de couche 2, les attaquants doivent être adjacents à la couche 2.

«Un attaquant pourrait exploiter cette vulnérabilité en envoyant un paquet [CDP] malveillant à un périphérique affecté», selon Cisco. «Un exploit réussi pourrait permettre à l’attaquant d’exécuter du code sur la caméra IP affectée ou provoquer son rechargement inattendu, entraînant une condition de déni de service (DoS).»

La vulnérabilité affecte les caméras exécutant une version de micrologiciel antérieure à la version 1.0.9-5 sur lesquelles le CDP est activé, a déclaré Cisco. Il est à noter que les caméras IP de surveillance vidéo Cisco 8000 ne sont plus vendues depuis le 24 juillet 2020. Cependant, la prise en charge des vulnérabilités et de la sécurité ne prend fin que le 24 juillet 2023.

Bug de Cisco Webex

Cisco a également corrigé une faille importante affectant sa plate-forme Webex. Ce problème est grave étant donné la quantité de main-d’œuvre qui se tourne vers les systèmes de visioconférence pendant la pandémie – cependant, il est considérablement complexe à exploiter, car un attaquant devrait être à la fois authentifié (nécessitant des informations d’identification valides sur le système Windows) et local.

cisco cdpwn

La vulnérabilité provient d’une mauvaise gestion des chemins de répertoire au moment de l’exécution. Un attaquant pourrait exploiter cette vulnérabilité en plaçant un fichier DLL malveillant à un emplacement spécifique du système ciblé, qui s’exécuterait ensuite au lancement de l’application vulnérable.

«Un exploit réussi pourrait permettre à l’attaquant d’exécuter du code arbitraire sur le système ciblé avec les privilèges du compte d’un autre utilisateur», selon Cisco.

La faille (CVE-2020-3535) affecte Webex Teams sur Windows pour les versions 3.0.13464.0 à 3.0.16040.0. Cette vulnérabilité n’affecte pas Webex Teams pour Android, Mac ou iPhone et iPad.

Faille des services d’identité

Une dernière faille importante (CVE-2020-3467) existe dans l’interface de gestion Web de Identity Services Engine (ISE), un outil qui permet la création et l’application de politiques de sécurité et d’accès pour les terminaux connectés à l’entreprise. ainsi que les routeurs et commutateurs. La faille permet aux attaquants authentifiés (avec des informations valides d’identification d’administrateur en lecture seule) de modifier des parties de la configuration sur un appareil affecté.

La vulnérabilité provient d’une application incorrecte du contrôle d’accès basé sur les rôles (RBAC) dans l’interface de gestion Web.

«Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête HTTP spécialement conçue à un périphérique affecté», selon Cisco. «Un exploit réussi pourrait permettre à l’attaquant de modifier des parties de la configuration. La configuration modifiée peut soit autoriser des appareils non autorisés sur le réseau, soit empêcher les appareils autorisés d’accéder au réseau. »

Cisco a affirmé ne pas avoir observé d’exploit pour l’une de ces trois failles de sécurité.

S’abonner
Notifier de
guest
0 Commentaires
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x