یک آسیب‌پذیری بحرانی موجود در مرکز مدیریت فایرپاور (FMC) سیسکو به مهاجم راه دور اجازه می‌دهد تا احراز هویت را دور زده و به‌عنوان مدیر، اقدامات دلخواه را بر روی دستگاه‌های آسیب‌دیده اجرا کند. به گفته‌ی سیسکو، این اشکال امنیتی از بررسی نادرست پاسخ‌های احراز هویت پروتکل LDAP از سرور خارجی ناشی می‌شود. بنابراین، مهاجم می‌تواند درخواست‌های درستکاری‌شده‌ی HTTP را به دستگاه آسیب‌دیده ارسال کرده و به‌عنوان مدیر، به رابط مدیریت مبتنی‌بر وب دسترسی پیدا کند.
سیسكو توضیح می‌دهد كه مرکز مدیریت فایرپاور آن تنها درصورتی تحت تأثیر این آسیب‌پذیری قرار می‌گیرد که برای احراز هویت کاربران رابط مدیریت مبتنی‌بر وب از طریق یک سرور LDAP خارجی پیکربندی شده باشد. این آسیب‌پذیری که با شناسه‌ی CVE-2019-16028 ردیابی می‌شود، در سیستم امتیازدهی آسیب‌پذیری عام (CVSS)، امتیاز ۹٫۸ را به خود اختصاص داده است.
طبق گزارش‌ها، این آسیب‌پذیری در نسخه‌های ۶٫۴٫۰٫۷ و ۶٫۵٫۰٫۲ نرم‌افزار FMC سیسکو وصله شده است. این شرکت همچنین در نظر دارد برای نسخه‌های ۶٫۲٫۳ (۶٫۲٫۳٫۱۶) و ۶٫۳٫۰ (۶٫۳٫۰٫۶) نیز وصله‌ها را به ترتیب در ماه‌های فوریه و مِه ۲۰۲۰ میلادی منتشر کند.
در هفته‌ی جاری، سیسکو همچنین ۷ وصله را برای ۸ آسیب‌پذیری با شدت بالا که نرم‌افزارهای Cisco TelePresence Collaboration Endpoint، TelePresence Codec و RoomOS Software؛ IOS XE SD-WAN Software؛ SD-WAN Solution vManage software، Smart Software Manager On-Prem و IOS XR Software را تحت تأثیر قرار می‌دهند، منتشر کرد. بهره‌برداری موفقیت‌آمیز از این نقص‌ها می‌تواند منجر به حملات پیمایش دایرکتوری (directory traversal)، دسترسی غیرمجاز به دستگاه‌های آسیب‌دیده، ارتقاء امتیاز و منع سرویس (DoS) شود.
سیسکو به‌منظور رفع تمامی این نقص‌های امنیتی، به‌روزرسانی‌های نرم‌افزاری را منتشر کرده و به مشتریان آسیب‌دیده توصیه می‌کند تا برای محافظت از خود در برابر حملات، در اسرع وقت این به‌روزرسانی‌ها را اعمال کنند. این شرکت اعلام کرده است که از اطلاعیه‌های عمومی یا استفاده‌ی مخرب از این آسیب‌پذیری‌ها آگاهی ندارد.
علاوه‌براین، سیسکو برای وصله‌کردن ۱۸ نقص امنیتی با شدت متوسط موجود در Webex Teams for Windows، Unified Communications Manager، Jabber Guest، Application Policy Infrastructure Controller، Email Security Appliance، Unity Connection Software، Web Security Appliance and Content Security Management Appliance، Umbrella Roaming Client for Windows، SD-WAN Solution، Small Business Smart and Managed Switches، IOS XR Software و Hosted Collaboration Mediation Fulfillment نیز، به‌روزرسانی‌های امنیتی را منتشر کرده است.
طبق گزارش‌ها، این نقص‌ها می‌توانند به منع سرویس، جعل درخواست میان وبگاهی (CSRF)، اسکریپت بین وب‌سایت (XSS)، دورزدن IP Tables، دورزدن فیلتر محتوا، پیمایش دایرکتوری، تزریق هدر HTTP، تزریق SQL، تزریق دستور و افشای اطلاعات، منجر شوند. اطلاعات اضافی در مورد آسیب‌پذیری‌های فوق را می‌توان در وب‌سایت پشتیبانی سیسکو یافت.
