Cisco telah merilis pembaruan keamanan untuk memuat tiga kerentanan yang memengaruhi produknya, termasuk satu kelemahan tingkat tinggi pada Perangkat Keamanan Email (ESA) yang dapat mengakibatkan kondisi penolakan layanan (DoS) pada perangkat yang terpengaruh.
Kelemahannya, diberi pengenal CVE-2022-20653 (skor CVSS: 7,5), berasal dari kasus penanganan kesalahan yang tidak memadai dalam resolusi nama yang dapat disalahgunakan oleh penyerang jarak jauh yang tidak diautentikasi untuk mengirim pesan email yang dibuat khusus dan menyebabkan DoS.
“Eksploitasi yang berhasil dapat memungkinkan penyerang menyebabkan perangkat menjadi tidak dapat dijangkau dari antarmuka manajemen atau memproses pesan email tambahan untuk jangka waktu tertentu hingga perangkat pulih, menghasilkan kondisi DoS,” kata perusahaan dalam sebuah nasihat. "Serangan berkelanjutan dapat menyebabkan perangkat menjadi tidak tersedia sama sekali, menghasilkan kondisi DoS yang persisten."
Cacat tersebut berdampak pada perangkat Cisco ESA yang menjalankan Perangkat Lunak Cisco AsyncOS yang menjalankan versi 14.0, 13.5, 13.0, 12.5 dan sebelumnya dan memiliki "fitur DANE diaktifkan dan dengan server email hilir dikonfigurasi untuk mengirim pesan pentalan." adalah singkatan dari DNS-based Authentication of Named Entities, yang digunakan untuk validasi email keluar.
Cisco memuji peneliti dari penyedia layanan ICT Rijksoverheid Dienst ICT Uitvoering (DICTU) untuk melaporkan kerentanan, sambil menunjukkan bahwa tidak ditemukan bukti eksploitasi berbahaya.
Secara terpisah, pembuat peralatan jaringan juga mengatasi dua kelemahan lain dalam Infrastruktur Utama dan Manajer Jaringan yang Dapat Diprogram Evolved dan Manajer Konfigurasi Redundansi yang dapat memungkinkan musuh untuk mengeksekusi kode arbitrer dan menyebabkan kondisi DoS:
Kelemahannya, diberi pengenal CVE-2022-20653 (skor CVSS: 7,5), berasal dari kasus penanganan kesalahan yang tidak memadai dalam resolusi nama yang dapat disalahgunakan oleh penyerang jarak jauh yang tidak diautentikasi untuk mengirim pesan email yang dibuat khusus dan menyebabkan DoS.
“Eksploitasi yang berhasil dapat memungkinkan penyerang menyebabkan perangkat menjadi tidak dapat dijangkau dari antarmuka manajemen atau memproses pesan email tambahan untuk jangka waktu tertentu hingga perangkat pulih, menghasilkan kondisi DoS,” kata perusahaan dalam sebuah nasihat. "Serangan berkelanjutan dapat menyebabkan perangkat menjadi tidak tersedia sama sekali, menghasilkan kondisi DoS yang persisten."
Cacat tersebut berdampak pada perangkat Cisco ESA yang menjalankan Perangkat Lunak Cisco AsyncOS yang menjalankan versi 14.0, 13.5, 13.0, 12.5 dan sebelumnya dan memiliki "fitur DANE diaktifkan dan dengan server email hilir dikonfigurasi untuk mengirim pesan pentalan." adalah singkatan dari DNS-based Authentication of Named Entities, yang digunakan untuk validasi email keluar.
Cisco memuji peneliti dari penyedia layanan ICT Rijksoverheid Dienst ICT Uitvoering (DICTU) untuk melaporkan kerentanan, sambil menunjukkan bahwa tidak ditemukan bukti eksploitasi berbahaya.
Secara terpisah, pembuat peralatan jaringan juga mengatasi dua kelemahan lain dalam Infrastruktur Utama dan Manajer Jaringan yang Dapat Diprogram Evolved dan Manajer Konfigurasi Redundansi yang dapat memungkinkan musuh untuk mengeksekusi kode arbitrer dan menyebabkan kondisi DoS:
- (skor CVSS: 6.1) – kerentanan Cisco Prime Infrastructure dan Evolved Programmable Network Manager cross-site scripting (XSS)
- (skor CVSS: 5.3) – Manajer Konfigurasi Redundansi Cisco untuk Perangkat Lunak Cisco StarOS, kerentanan penolakan layanan (DoS) TCP