Cisco har i dag afsløret en nul-dages sårbarhed, der påvirker den nyeste generation af sine IP-telefoner og udsætter dem for fjernudførelse af kode og DoS-angreb (Denial of Service).

Virksomheden advarede torsdag om, at dets Product Security Incident Response Team (PSIRT) er “opmærksom på, at proof-of-concept-udnyttelseskode er tilgængelig”, og at “sårbarheden er blevet diskuteret offentligt.”

Ciscos PSIRT tilføjede dog, at det endnu ikke er opmærksom på nogen forsøg på at udnytte denne sikkerhedsfejl i angreb.

Cisco har ikke frigivet sikkerhedsopdateringer for at løse denne fejl før afsløring og siger, at en patch vil være tilgængelig i januar 2023.

CVE-2022-20968, da sikkerhedsfejlen spores, skyldes utilstrækkelig inputvalidering af modtagne Cisco Discovery Protocol-pakker, som uautoriserede, tilstødende angribere kan udnytte til at udløse et stakoverløb.

Berørte enheder omfatter alle Cisco IP-telefoner, der kører  firmwareversion 14.2 i 7800- og 8800-serien.

Sårbarheden blev rapporteret til Cisco af Qian Chen fra Codesafe Team of Legendsec hos QI-ANXIN Group.

Afhjælpning tilgængelig for nogle enheder

Selvom en sikkerhedsopdatering til håndtering af CVE-2022-20968 eller en løsning endnu ikke er tilgængelig, giver Cisco råd om afhjælpning til administratorer, der ønsker at sikre sårbare enheder i deres miljø mod potentielle angreb.

Dette kræver, at Cisco Discovery Protocol deaktiveres på berørte enheder i IP-telefon 7800- og 8800-serien, der også understøtter LLDP (Link Layer Discovery Protocol) til naboopdagelse.

“Enheder vil derefter bruge LLDP til opdagelse af konfigurationsdata såsom stemme-VLAN, strømforhandling og så videre,”

forklarede Cisco  i en sikkerhedsmeddelelse, der blev offentliggjort torsdag.

“Dette er ikke en triviel ændring og vil kræve omhu på vegne af virksomheden for at evaluere enhver potentiel indvirkning på enheder samt den bedste tilgang til at implementere denne ændring i deres virksomhed.”

Administratorer, der ønsker at implementere denne afhjælpning, rådes til at teste dens effektivitet og anvendelighed for deres miljø.

Cisco advarede om, at “kunder ikke bør implementere nogen løsninger eller afhjælpninger, før de først evaluerer anvendeligheden på deres eget miljø og enhver indvirkning på et sådant miljø.”

Kilde: CISCO, ICARE SECURITY A/S
Fotokredit: CISCO