سیسکو به‌تازگی وصله‌هایی برای ۱۱ آسیب‌پذیری موجود در محصولات خود ازجمله چند آسیب‌پذیری که نرم‌افزار UCS Manager، FXOS و NX-OS را تحت تأثیر قرار می‌دهد، منتشر کرده است.
مهم‌ترین اشکال در بین آن‌ها یک آسیب‌پذیری با شدت بالا در FXOS و NX-OS است که به یک مهاجم احرازهویت‌نشده‌ی مجاور اجازه می‌دهد تا کد دلخواه را به‌عنوان روت اجرا کند. ممکن است از این اشکال برای منع سرویس بهره‌برداری شود.
این آسیب‌پذیری که با شناسه‌ی CVE-2020-3172 ردیابی می‌شود، ناشی از اعتبارسنجی نامناسب سرآیند بسته‌ی Discovery Protocol سیسکو است. مهاجم می‌تواند یک بسته‌ی دست‌کاری‌شده را به یک دستگاه آسیب‌دیده‌ی مجاور لایه‌ی دوم ارسال کند و منجر به سرریز بافر برای اجرای کد یا ایجاد شرایط منع سرویس شود.
از آن‌جا که Discovery Protocol به‌طور پیش‌فرض در سطح جهان و در همه‌ی رابط‌های FXOS و NX-OS فعال است، این آسیب‌پذیری محصولات بسیاری را ازجمله Nexus، Firepower، UCS و MDS تحت تأثیر قرار می‌دهد.
سیسکو خاطرنشان کرده است که این آسیب‌پذیری با مورد افشاشده در اوایل ماه جاری که به‌گفته‌ی پژوهش‌گران ده‌ها میلیون دستگاه سیسکو مستقر در محیط‌های سازمانی را تحت تأثیر قرار داده بود، متفاوت است.
یکی دیگر از آسیب‌پذیری‌های با شدت بالایی که وصله شد، یک آسیب‌پذیری منع سرویس در نرم‌افزار NX-OS مربوط به MDS 9000 Series Multilayer Switches است که ممکن است به‌صورت از راه دور و بدون احراز هویت مورد بهره‌برداری قرار گیرد.
مورد بعدی یک آسیب‌پذیری با شدت بالا در نرم‌افزار UCS Manager است که ممکن است توسط یک مهاجم محلی احرازهویت‌شده به‌منظور اجرای دستورات دلخواه در سیستم عامل مورد بهره‌برداری قرار گیرد. این آسیب‌پذیری که با شناسه‌ی CVE-2020-3173 ردیابی می‌شود، UCS ۶۲۰۰ و ۶۴۰۰ Series Fabric Interconnects را تحت تأثیر قرار می‌دهد.
قابلیت Secure Login Enhancements در سوئیچ Nexus 1000V مربوط به VMware vSphere تحت تأثیر یک مسأله با شدت بالا قرار گرفته است که به یک مهاجم راه دور احرازهویت‌نشده اجازه می‌دهد تا یک Nexus 1000V Virtual Supervisor Module را غیرقابل دسترسی کند.
همچنین دو آسیب‌پذیری تزریق فرمان CLI با شدت بالا (CVE-2020-3167 و CVE-2020-3171) در نرم‌افزار FXOS و UCS Manager رفع شد که هردوی آن‌ها ممکن است توسط یک مهاجم محلی احرازهویت‌نشده برای اجرای دستورات دلخواه مورد بهره‌برداری قرار گیرد. هر دو آسیب‌پذیری محصولات Firepower و UCS را تحت تأثیر قرار می‌دهد.
سیسکو همچنین ۳ اشکال با شدت متوسط را در نرم‌افزار NX-OS رفع کرده است که ممکن است توسط یک مهاجم راه دور احرازهویت‌نشده برای دور زدن احراز هویت MD5 و ایجاد یک اتصال BGP مورد بهره‌برداری قرار گیرد و موجب شود که یک دستگاه ورودی‌های نامعتبر Address Resolution Protocol را یاد بگیرد و یا فرآیند NX-API را مجدداً راه‌اندازی کند.
دو اشکال با شدت متوسط دیگر در نرم‌افزار FXOS وصله شده است. این آسیب‌پذیری‌ها ممکن است توسط یک مهاجم محلی احرازهویت‌شده برای خواندن یا نوشتن فایل‌های دلخواه در سیستم عامل یا اجرای دستورات دلخواه در سیستم عامل لینوکس با امتیازات روت مورد بهره‌برداری قرار گیرد.
سیسکو همچنین یک مشاوره‌نامه برای آسیب‌پذیری Kr00k که به‌تازگی افشا شد، منتشر کرده است که دستگاه‌های حاوی تراشه‌های وای‌فای ساخته‌شده توسط Broadcom و Cypress را تحت تأثیر قرار می‌دهد.
