یک آسیب‌پذیری در Cisco Small Business Switch کشف شده است که می‌تواند به یک مهاجم احراز هویت نشده و Remote این توانایی را بدهد که در دستگاه‌های آسیب‌پذیر، به سطح مدیریتی دسترسی پیدا کند.
این آسیب‌پذیری در شرایط خاصی بوجود می‌آید که OS سوییچ، بدون اطلاع‌رسانی به مدیران سیستم، یک حساب کاربری دارای دسترسی بالا را فعال می‌نماید. مهاجم می‌تواند با استفاده از این آسیب‌پذیری به حساب کاربری با سطح ادمین دسترسی پیدا کرده و دستورات را اجرا نماید. لازم به ذکر است که در حال حاضر سیسکو برای رفع این آسیب‌پذیری، بروزرسانی‌های نرم‌افزاری منتشر نکرده است.
محصولات آسیب‌پذیر
این آسیب‌پذیری روی گروه محصولات Cisco Small Business زیر در تمام نسخه‌های نرم‌افزاری در صورتی تاثیرمی‌گذارد که هیچ حساب کاربری با دسترسی سطح 15 در دستگاه پیکربندی نشده باشد:
- Cisco Small Business 200 Series Smart Switches
- Cisco Small Business 300 Series Managed Switches
- Cisco Small Business 500 Series Stackable Managed Switches
- Cisco 250 Series Smart Switches
- Cisco 350 Series Managed Switches
- Cisco 350X Series Stackable Managed Switches
- Cisco 550X Series Stackable Managed Switches
محصولاتی که آسیب‌پذیر نبودنشان تایید شده است
تنها محصولاتی که در بخش «محصولات آسیب‌پذیر» فهرست شده‌اند تحت تاثیر این آسیب‌پذیری قرار گرفته‌اند و همچنین سیسکو تایید کرده است که این آسیب‌پذیری روی محصولاتی که Cisco IOS Software، Cisco IOS XE Software و یا Cisco NX-OS Software را اجرا می‌نمایند و بر روی محصول زیر تاثیرگذار نیست:
- Cisco 220 Series Smart Switches
جزئیات بوجود آمدن آسیب‌پذیری
Cisco Small Business Switch معمولا درون محیط‌های شبکه‌ای کوچک (SOHO) پیاده‌سازی می‌گردد. پیکربندی پیش‌فرض روی دستگاه‌هایی که تحت عنوان آسیب‌پذیر فهرست شده‌اند شامل یک حساب کاربری پیش‌فرض و دارای دسترسی سطح بالا می‌شود که برای Login اولیه مورد استفاده قرار می‌گیرد و نمی‌توان آن را از سیستم حذف نمود. یک مدیر می‌تواند با پیکربندی دیگر حساب‌های کاربری با دسترسی بالا در سطح 15، این حساب را غیرفعال کند. با‌این‌حال، اگر تمام حساب‌های دارای دسترسی سطح 15 که توسط کاربر پیکربندی شده‌اند از پیکربندی دستگاه حذف گردند، در تجهیزات آسیب‌پذیر، بدون اطلاع‌رسانی به مدیران سیستم، حساب کاربری دارای دسترسی سطح بالا را دوباره فعال می‌نماید. تحت این شرایط، مهاجم می‌تواند از این حساب استفاده کند تا به دستگاهی تحت تاثیر Log In کرده و با حقوق کامل مدیریتی، دستورات را اجرا نماید.
نکته حائز اهمیت آن است که حساب کاربری پیش‌فرض در یک ساختار داده‌ی داخلی نرم‌افزار تعریف شده است و در پیکربندی در حال اجرا و یا پیکربندی ابتدایی یک دستگاه آسیب‌پذیر قابل مشاهده نیست.
نسخه‌های اصلاح شده
سیسکو برای پاسخ به این آسیب‌پذیری، بروزرسانی‌های نرم‌افزاری منتشر نکرده است و مشتریان تنها می‌توانند نسخه‌های نرم‌افزاری و مجموعه ویژگی‌هایی که برایش License خریداری کرده‌اند را نصب کرده و برای آن‌ها انتظار پشتیبانی داشته باشند. کاربران با نصب، دانلود، دسترسی و یا استفاده از ارتقا‌های نرم‌افزاری به هر شکل دیگر، موافقت می‌کنند که از شرایط License نرم‌افزار سیسکو پیروی نمایند.
زمانی که مشتریان قصد بروزرسانی دارند، پیشنهاد می‌شود که مرتبا به راهنماهای (Advisoryهای) محصولات سیسکو مراجعه نمایند تا بتوانند Exposure و راهکار ارتقای کاملی را بیابند. در تمام موارد، مشتریان باید اطمینان حاصل کنند که دستگاه‌هایی که قرار است ارتقا داده شوند، حاوی حافظه‌ی کافی هستند و تایید کنند که پیکربندی‌های سخت‌افزاری و نرم‌افزاری کنونی به طور مناسب توسط نسخه‌های جدید پشتیبانی خواهد شد. اگر اطلاعات واضح نبود، به مشتریان توصیه می‌شود که با مرکز پشتیبانی فنی (TAC) سیسکو یا ارائه‌دهندگان پشتیبانی قراردادی خود، تماس حاصل کنند.
