آسیب‌پذیری موجود در نرم‌افزار Unified Computing System Performance Manager که متعلق به شرکت Cisco می‌باشد و به اختصار UCS Performance Manager نامیده می‌شود، امکان اجرای برخی دستورات به صورت Remote را برای Attackerهای احراز هویت شده (Authenticated) فراهم می‌نماید.
به تازگی شرکت سیسکو این آسیب‌پذیری مهم در نرم‌افزار UCS Performance Manager را رفع نموده است.
نسخه 2.0.0 و نسخه‌های قبلی Cisco UCS Performance Manager در معرض این آسیب‌پذیری قرار داشتند اما این نقص در نسخه 2.0.1 و نسخه‌های بعدی برطرف گردیده است. UCS Performance Manager به جمع‌آوری اطلاعات در مورد سرورهای UCS، شبکه، Storage و ماشین‌های مجازی می‌پردازد.
از نظر سیسکو، این آسیب‌پذیری به دلیل اعتبارسنجی ناکافی در مورد ورودی‌هایی می‌باشد که بر اساس پارامترهای ارائه شده از طریق درخواست‌های HTTP GET در یک سیستمِ در معرض آسیب، اجرا می‌شوند. Attackerها می‌توانند با ارسال یک درخواست HTTP GET، که برای این سیستم‌ها طراحی شده است، این نقص را Exploit نمایند. بدین ترتیب امکان اجرای دستورات مورد نظر Attackerها همراه با بهره‌مندی از دسترسی‌های مربوط به کاربر اصلی، برای مهاجمان فراهم می‌گردد.
طبق اظهارات شرکت سیسکو تنها راه پوشش‌دهی این آسیب‌پذیری، عرضه نسخه‌های به‌روزرسانی این نرم‌افزار می‌باشد.
راهکار رفع این آسیب‌پذیری، اخیرا در قالب یک سری Patchهای امنیتی توسط شرکت سیسکو عرضه شد. این شرکت به تازگی، Patchهایی را برای برطرف نمودن آسیب‌پذیری‌های موجود در IOS خود برای تجهیزات شبکه و سرورهای کنفرانس WebEx و Cisco ارائه نموده است.
به نقل از IDG News Service Story، جدی‌ترین نوع آسیب‌پذیری می‌تواند نرم‌افزار Cisco IOS XR استفاده شده در روترهای Network Convergence System سری 6000 یا به اختصار NCS 6000 Routerرا تحت تاثیر قرار دهد. این مساله منجر به بروز شرایط Denial-of-Service یا DoS شده و تجهیزات تحت تاثیر این مشکل را در یک حالت غیرعملیاتی قرار می‌دهد.
مهاجمان غیرمجاز Remote، می‌توانند آسیبپذیریها را با راه اندازی تعدادی ارتباط مدیریتی به تجهیزات آسیب‌پذیر از طریق (Secure Shell (SSH), Secure Copy Protocol (SCP و یا (Secure FTP (SFTP و … Exploit نمایند. با توجه به اینکه این موضوع می‌تواند قابلیت دسترس‌پذیری بخش مهمی از تجهیزات مثل روتر‌ها را تحت تاثیر قرار دهد، شرکت سیسکو شدت و اهمیت این آسیب‌پذیری را بالا برآورد کرده است. در این مورد هیچ راه حلی وجود نداشته و نصب Patchهای جدید به کاربران توصیه می‌گردد.
یکی دیگر از نقایص امنیتی رفع شده در نرم‌افزار Cisco IOS XR، این بود که امکان اجرای دستورات دلخواه بر روی سیستم‌عامل را همراه با دسترسی‌های اصلی برای مهاجمان فراهم می‌نمود. این آسیب‌پذیری بر نسخه‌ی 6.0.1 BASE نرم‌افزار IOS XR تاثیر گذاشته و میزان شدت آن نیز در حد متوسط برآورد می‌شود؛ زیرا مهاجمان باید همانند یک کاربر local احراز هویت شوند.
علاوه بر موارد فوق، آسیب‌پذیری DoS در نرم‌افزار Cisco IOS نیز برطرف گردیده است. این آسیب‌پذیری از طریق ارسال Packetهای Link Layer Discovery Protocol یا LLDP، موجب خرابی تجهیزاتی می‌شود که از نسخه‌های آسیب‌پذیر این نرم‌افزار استفاده می‌نمایند. فرآیند Exploit نمودن این آسیب‌پذیری نیازی به احراز هویت ندارد اما مستلزم آن است که Attacker در موقعیت ارسال Packetهای LLDP قرار گیرد.
بر اساس گزارشات IDG،علاوه بر رفع آسیب‌پذیری‌های ذکر شده، آسیب‌پذیری‌های سرورهای Meeting سیسکو نیز رفع گردیدند. یکی از این آسیبپذیریها از طریق واسط کاربری HTTP در Cisco Meeting Server که در گذشته Acano Conferencing Server نامیده می‌شد، امکان ایجاد حملات Cross-Site Scripting یا XSS را از طریق واسط کاربری کاربران برای مهاجمان فراهم می‌نماید. Attackerها می‌توانند با فریب کاربران برای کلیک بر روی لینک‌های مخرب و پس از آن اجرای کد جاوا اسکریپت در مرورگر آنها در ساختار واسط کاربری Cisco Meeting Server، این نقص را Exploit نمایند. از این مورد می‌توان برای سرقت Cookieهای احراز هویت یا اجبار کاربران برای اجرای عملکردهای غیرمجاز استفاده نمود.
