Cisco Expressway 시리즈, TelePresence VCS 제품의 치명적인 취약점 수정돼

Critical Patches Issued for Cisco Expressway Series, TelePresence VCS Products

 

Cisco에서 Expressway Series, Cisco TelePresence VCS(Video Communication Server)에 존재하는 치명적인 보안 취약점을 수정하는 패치를 공개했습니다.

 

CVE-2022-20754, CVE-2022-20755(CVSS 점수: 9.0)로 등록된 이 두 취약점은 두 제품의 API 및 웹 기반 관리 인터페이스 내 임의 파일 쓰기, 명령 주입 취약점이며 시스템에 심각한 영향을 미칠 수 있습니다.

 

회사는 이 두 문제 모두 사용자가 제공한 명령 인수의 입력 유효성 검사가 충분하지 못했기 때문에 발생한다고 밝혔습니다. 이 취약점은 인증된 원격 공격자가 디렉토리 탐색 공격을 수행하고, 임의 파일을 덮어쓰며, 기본 운영 체제에서 루트 사용자 권한으로 악성코드를 실행하기 위해 무기화할 수 있습니다.

 

Cisco는 지난 수요일 “이 취약점은 Cisco ASIG(Advanced Security Initiatives Group)의 Jason Crowder가 내부 보안 테스트 중 발견했다”고 밝혔습니다.

 

또한 Cisco는 StarOS, Cisco Identity Services Engine RADIUS Service, Cisco Ultra Cloud Core 가입자 마이크로서비스 인프라 소프트웨어의 취약점 3가지를 패치했습니다.

 

CVE-2022-20665(CVSS 점수: 6.0) – 관리 크리덴셜을 가진 공격자가 루트 권한으로 임의 코드를 실행할 수 있는 Cisco StarOS 내 명령 주입 취약점

CVE-2022-20756(CVSS 점수: 8.6) – Cisco ISE(Identity Services Engine)의 RADIUS 기능에 영향을 미치는 서비스 거부(DoS) 취약점

CVE-2022-20762(CVSS 점수: 7.8) – 인증된 로컬 공격자가 루트 사용자로 권한을 상승시킬 수 있는 Cisco Ultra Cloud Core - SMI(Subscriber Microservices Infrastructure) 소프트웨어의 CEE(Common Execution Environment) ConfD CLI 내 권한 상승 취약점

 

Cisco는 또한 내부 보안 테스트 중이나 Cisco TAC(기술 지원 센터) 지원 중 취약점이 악용되었다는 증거를 찾지 못했다고 밝혔습니다.

 

아직까지 악용 사례는 발생하지 않았지만, 고객 분들은 잠재적인 공격을 완화하기 위해 가능한 한 빠른 시일 내 최신 버전으로 업데이트하는 것이 좋습니다.

 

 

 

 

출처:

https://thehackernews.com/2022/03/critical-patches-issued-for-cisco.html

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-filewrite-87Q5YRk