Cisco heeft enkele kwetsbaarheden in zijn Cisco Enterprise NFV Infrastructure Software (NFVIS) opgelost. Tot nu toe zijn nog geen exploits van de kwetsbaarheden waargenomen.
Cisco Enterprise NFVIS is een oplossing die klanten helpt verschillende virtuele netwerkdiensten voor een eenvoudiger beheer van virtual netwok functions (VNF’s). De nu aangepakte kwetsbaarheden in Cisco NFVIS maakten het voor hackers mogelijk NFVIS hosts compleet te compromitteren.
Twee belangrijke kwetsbaarheden
Twee kwetsbaarheden vereisen vanwege hun kritieke status hierbij bijzondere aandacht. De kwetsbaarheid CVE-2022-20777, aangetroffen in de Next Generation Input/Output (NGIO) feature van de oplossing, wordt veroorzaakt door onvoldoende beperkingen voor guests. Hierdoor kunnen geauthenticeerde hackers ontsnappen uit de guest vm-omgeving en vervolgens root-access krijgen tot de host met kleine aanvallen, zonder dat daarbij interactie van de echte gebruiker voor nodig is. Op deze manier kunnen de hackers de hele NFVIS host zonder problemen overnemen.
De andere belangrijke aangetroffen kwetsbaarheid is CVE-2022-20779. Deze kwetsbaarheid maakt code-injectie mogelijk in het image-registratieproces van Cisco Enterprise NFVIS. Dit is mogelijk door een slechte input-validatie.
Niet-geauthenticeerde hackers kunnen deze kwetsbaarheid op afstand misbruiken voor het injecteren van commando’s die root privileges uitvoeren op de host. Dit vindt plaats tijdens het image-registratieproces. Hiervoor zijn wel kleinschalige aanvallen nodig die interactie met getroffen eindgebruikers nodig hebben.
Fixes uitgebracht
Cisco geeft aan dat voor alle aangetroffen kwetsbaarheden, waaronder ook CVE-2022-20780, CWE-284, CWE-611, nu helemaal zijn opgelost met recente fixes. De aangetroffen kwetsbaarheden worden volgens de techgigant tot nu toe nog niet openbaar misbruikt.
Klanten met Cisco Enterprise NFVIS-versies lager dan versie 4.0 worden geadviseerd te upgraden naar een nieuwere release. Klanten met versie 4.0 kunnen nu upgraden naar den meest recente gepatchde versie 4.7.1.
2 uur geleden
