شرکت آمریکایی سیسکو (Cisco) که در زمینه‌ی تجهیزات شبکه فعالیت می‌کند، به‌منظور رفع چندین آسیب‌پذیری موجود در سوئیچ‌های شبکه‌ی سری Small Business 220 خود، از جمله دو اشکال امنیتی با شدت بحرانی وصله‌هایی را منتشر کرده است. مهم‌ترین این آسیب‌پذیری‌ها می‌تواند به مهاجم غیرمجاز راه دور اجازه دهد تا با استفاده از امتیازات روت، کد دلخواه خود را بر روی سیستم عامل اصلی اجرا کند.
این اشکال که با شناسه‌ی CVE-2019-1913 ردیابی شده و در سیستم امتیازدهی آسیب‌پذیری عام (CVSS) امتیاز ۹٫۸ را دریافت کرده است، چندین آسیب‌پذیری در رابط مدیریت وب سوئیچ‌های هوشمند را شامل می‌شود. به گفته‌ی سیسکو، این آسیب‌پذیری‌ها به‌دلیل اعتبارسنجی ناکافی اطلاعات ورودی ارائه‌شده توسط کاربر و بررسی‌های محدوده‌ی نامناسب به‌هنگام خواندن داده‌ها در یک بافر داخلی ایجاد شده‌اند.
مهاجم می‌تواند با ارسال درخواست‌های مخرب به رابط مدیریت وب دستگاه آسیب‌دیده، این آسیب‌پذیری‌ها را مورد بهره‌برداری قرار دهد. بسته به پیکربندی سوئیچ آسیب‌پذیر، این درخواست‌ها باید از طریق پروتکل‌های HTTP یا HTTPS ارسال شوند.
آسیب‌پذیری بحرانی دوم که با شناسه‌ی CVE-2019-1912 ردیابی شده و در سیستم امتیازدهی CVSS نمره‌ی ۹٫۱ را به خود اختصاص داده است، امکان بارگذاری فایل‌های دلخواه را برای یک مهاجم غیرمجاز راه دور فراهم می‌سازد. طبق گفته‌ی سیسکو، این نقص به‌دلیل بررسی‌های ناقص مجوزها در رابط مدیریت وب ایجاد شده است. مهاجمی که به‌دنبال بهره‌برداری از این اشکال است، باید یک درخواست مخرب را به بخش‌های خاصی از این رابط ارسال کند. سپس، مهاجم می‌تواند پیکربندی دستگاه آسیب‌دیده را تغییر داده و یا یک شِل معکوس را به آن تزریق کند.
سیسکو همچنین یک آسیب‌پذیری با شدت متوسط را نیز در سوئیچ‌های هوشمند سری Small Business 220 خود وصله کرده است. این آسیب‌پذیری که با شناسه‌ی CVE-2019-1914 ردیابی شده و نمره‌ی CVSS برابر با ۷٫۲ را دریافت کرده است، به مهاجم تأییدشده‌ی راه دور اجازه می‌دهد تا یک تزریق فرمان را انجام دهد. این اشکال امنیتی نیز به‌دلیل اعتبارسنجی نادرست اطلاعات ورودی ارائه‌شده توسط کاربر ایجاد شده است. مهاجم می‌تواند با شبیه‌سازی یک نشست ورود معتبر به‌عنوان یک کاربر دارای سطح امتیاز ۱۵، یک درخواست مخرب را به بخش‌های خاصی از رابط مدیریت وب ارسال کرده و به این ترتیب، این آسیب‌پذیری را مورد بهره‌برداری قرار دهد.
تمامی این اشکال‌های امنیتی، سوئیچ‌های هوشمند سری Small Business 220 سیسکو را که ثابت‌افزار قدیمی‌تر از نسخه‌ی ۱٫۱٫۴٫۴ را اجرا کرده و رابط مدیریت وب بر روی آن‌ها فعال است، تحت تأثیر قرار می‌دهند. درحال‌حاضر، شرکت سیسکو تمامی این آسیب‌پذیری‌ها را وصله کرده است.
علاوه‌براین، این شرکت یک وصله‌ی امنیتی را برای آسیب‌پذیری تزریق اسکریپت از طریق وب‌سایت (XSS) کشف‌شده در رابط مدیریت مبتنی‌بر وب (ISE) خود منتشر کرده است. این آسیب‌پذیری نسخه‌ی ۲٫۴٫۰ Patch 9 موتور سرویس تشخیص سیسکو را تحت تأثیر قرار می‌دهد. این نقص امنیتی که با شناسه‌ی CVE-2019-1941 ردیابی شده و دارای نمره‌ی CVSS برابر با ۶٫۱ است، می‌تواند توسط مهاجم غیرمجاز راه دور که کاربر را به کلیک بر روی یک لینک مخرب ترغیب می‌کند، مورد بهره‌برداری قرار بگیرد. درصورت بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری، مهاجم می‌تواند کد اسکریپت دلخواه را در محتوای رابط کاربری آسیب‌دیده اجرا کرده و یا به اطلاعات حساس و مبتنی‌بر مرورگر دسترسی پیدا کند. به گفته‌ی شرکت سیسکو، تاکنون هیچگونه اطلاعیه‌ی عمومی یا استفاده‌ی مخرب از این آسیب‌پذیری‌ها گزارش نشده است.
