Cisco har udgivet sikkerheds-opdateringer der indeholder tre sårbarheder, der påvirker CISCO Email produkterne, herunder en fejl med høj sværhedsgrad i sin E-mail-sikkerhedsapparat (ESA), der kan resultere i en Denial-of-Service (DoS) tilstand på en berørt enhed.
Svagheden, der er tildelt identifikationen CVE-2022-20653 (CVSS-score: 7.5), og denne skyldes et tilfælde af utilstrækkelig fejlhåndtering i DNS-navnefortolkninger, der kan misbruges af en ikke-godkendt fjernangriber til at sende en specielt udformet e-mail og forårsage en DoS.
“En vellykket udnyttelse kunne gøre det muligt for angriberen at forårsage enheden til at blive utilgængelig fra ledelsen grænseflader eller til at behandle yderligere e-mails i en periode, indtil enheden kommer sig, hvilket resulterer i en DoS tilstand,” siger Cisco.
“Fortsatte angreb kan medføre, at enheden bliver helt utilgængelig, hvilket resulterer i en vedvarende DoS-tilstand.”
siger CISCO.COM
Fejlen påvirker Cisco ESA-enheder, der kører Cisco AsyncOS Software, der kører version 14.0, 13.5, 13.0, 12.5 og tidligere, og har “DANE-funktionen aktiveret og med downstream-mailservere konfigureret til at sende afvisningsmeddelelser.” DANE er en forkortelse for DNS-baseret godkendelse af navngivne objekter, som bruges til validering af udgående e-mails.
Cisco har krediteret forskere fra IKT-tjenesteudbyder Rijksoverheid Dienst ICT Uitvoering (DICTU) for at rapportere sårbarheden, samtidig med at påpege, at det ikke er fundet nogen tegn på ondsindet udnyttelse endnu.
Cisco Prime Infrastructure og RV serien af routere er også berørt
Udover dette er der nu rettet to andre fejl i sin Prime Infrastruktur og Evolved Programeable Network Manager og Redundancy Configuration Manager, der kunne gøre det muligt for en modstander at udføre vilkårlig kode og forårsage en DoS tilstand –
- CVE-2022-20659 (CVSS score: 6.1) – Cisco Prime Infrastructure og Evolved Programmable Network Manager cross-site scripting (XSS) sårbarhed
- CVE-2022-20750 (CVSS score: 5.3) – Cisco Redundancy Configuration Manager for Cisco StarOS Software TCP denial-of-service (DoS) sårbarhed
Rettelserne kommer også uger efter Cisco offentliggjort patches til flere kritiske sikkerhedshuller påvirker sin RV Series routere, hvoraf nogle tjente den højest mulige CVSS sværhedsgrad score ratings på 10, der gør at man uden videre kan hæve privilegier og udføre vilkårlig kode på berørte systemer.