شرکت تولیدکننده‌ی تجهیزات شبکه و ارتباطات سیسکو وصله‌هایی را برای ۱۶ آسیب‌پذیری موجود در محصولات خود، از جمله یک آسیب‌پذیری بحرانی، ۶ آسیب‌پذیری با شدت بالا و ۹ آسیب‌پذیری با شدت متوسط، منتشر کرده است.
آسیب‌پذیری بحرانی مذکور، راه‌حل صدور مجوز Smart Software Manager On-Prem را تحت تأثیر قرار داده و امکان دسترسی به داده‌های سیستم با امتیازات بالا را برای مهاجم راه دور و غیرمجاز فراهم می‌کند. سیسکو توضیح می‌دهد که این اشکال، نتیجه‌ی یک حساب کاربری سیستم با یک رمز عبور پیش‌فرض و استاتیک است، اما تحت کنترل مدیر سیستم نیست. مهاجم می‌تواند برای دستیابی به خواندن و نوشتن اطلاعات سیستم، از جمله پیکربندی دستگاه‌های آسیب‌دیده از این حساب استفاده کند. بااین‌حال، نمی‌تواند کنترل کامل دستگاه را در اختیار بگیرد.
این آسیب‌پذیری که با شناسه‌ی CVE-2020-3158 ردیابی شده و در سیستم امتیازدهی آسیب‌پذیری عام (CVSS)، امتیاز ۹٫۸ را به خود اختصاص داده است، نسخه‌های قبل از ۲۰۲۰۰۱-۷ نرم‌افزار Smart Cisco Smart On-Prem را، درصورت فعال‌بودن ویژگی High Availability، تحت تأثیر قرار می‌دهد.
از سوی دیگر، اولین اشکال با شدت بالایی که توسط سیسکو وصله شده است (CVE-2019-1888)، محصول Unified Contact Center Express را تحت تأثیر قرار داده و امکان بارگذاری فایل‌های دلخواه و اجرای دستورات دلخواه بر روی سیستم عامل اصلی را برای مهاجم دارای گواهی‌نامه‌های مدیریتی معتبر فراهم می‌کند.
یک نقص با شدت بالا (CVE-2019-1736) نیز که در UCS C-Series Rack Servers وصله شده است، به یک مهاجم تأییدشده اجازه می‌دهد تا بررسی‌های اعتبارسنجی UEFI Secure Boot را دور زده و تصویر نرم‌افزار خود را بر روی یک دستگاه آسیب‌دیده بارگذاری کند. این اشکال امنیتی درصورت اجرای نسخه‌ی آسیب‌پذیر BIOS و یک چارچوب کنترل‌کننده‌ی مدیریت یکپارچه (IMC) آسیب‌پذیر، محصول‌های Firepower Management Center 1000، Firepower Management Center 2500 و Firepower Management Center 4500، Secure Network Server ۳۵۰۰ Series Appliances، Secure Network Server ۳۶۰۰ Series Appliances و Threat Grid 5504 Appliance را تحت تأثیر قرار می‌دهد.
سیسکو همچنین یک آسیب‌پذیری (CVE-2019-1983) را در ویژگی فیلترکردن پیام ایمیل برای نرم‌افزار AsyncOS در Email Security Appliance و Content Security Management Appliance وصله کرده است که می‌تواند به یک مهاجم غیرمجاز راه دور اجازه دهد تا فرآیندهای خرابکاری را انجام داده و باعث شرایط منع سرویس (DoS) شود.
یک آسیب‌پذیری دیگر (CVE-2019-1947) در نرم‌افزار AsyncOS برای Email Security Appliance نیز می‌تواند به‌صورت از راه دور و بدون نیاز به احراز هویت برای افزایش استفاده از CPU تا ۱۰۰ درصد مورد بهره‌برداری قرار گرفته و باعث ایجاد شرایط منع سرویس شود.
دو آسیب‌پذیری جدی دیگر که توسط سیسکو وصله شده‌اند، محصول Data Center Network Manager این شرکت را تحت تأثیر قرار می‌دهند. آسیب‌پذیری اول (CVE-2020-3112)، از نوع ارتقاء امتیاز در نقطه‌ی پایانی REST API است، درحالی‌که آسیب‌پذیری دوم (CVE-2020-3114)، یک اشکال جعل درخواست میانوبگاهی (CSRF) در رابط مدیریت مبتنی‌بر وب است.
آسیب‌پذیری‌های با شدت متوسط وصله‌شده توسط سیسکو نیز شامل منع سرویس در Unified Contact Center Enterprise، اجرای کد از راه دور در Enterprise NFV Infrastructure Software، اسکریپت‌نویسی میانوبگاهی (XSS) در Identity Services Engine، اسکریپت‌نویسی میانوبگاهی در Finesse، منع سرویس در AsyncOS Software for ESA، تزریق SQL در Cloud Web Security، منع سرویس در Meeting Server، مدیریت نادرست مسیرهای دایرکتوری در AnyConnect Secure Mobility Client for Windows و اسکریپت‌نویسی میانوبگاهی در Data Center Network Manager هستند. سیسکو اعلام کرده است از هیچ‌گونه بهره‌برداری مخرب از این آسیب‌پذیری‌ها آگاهی ندارد.
