Cisco rivela bug sui suoi router in End Of Life. Un nuovo modo per eliminare l’obsolescenza tecnologica?

Cisco ha emesso un avviso relativo a una vulnerabilità XSS nei router per piccole imprese della serie RV. Poiché il supporto per questi dispositivi è già stato interrotto, non è necessario attendere le patch.

La vulnerabilità viene tracciata con l’identificatore CVE-2024-20362 e può essere sfruttata da remoto e senza autenticazione. Ciò riguarda i router RV016, RV042, RV042G, RV082, RV320 e RV325, che sono andati in End Of Life (EoL) e non ricevono più aggiornamenti o patch.

Il problema è dovuto a una convalida insufficiente nell’interfaccia web dei prodotti interessati, che consente agli aggressori di condurre attacchi XSS convincendo l’utente a visitare una pagina dannosa. Ciò potrebbe infine portare all’esecuzione di script o alla perdita di dati.

Sebbene Cisco affermi di non essere a conoscenza di hacker che sfruttano questa vulnerabilità, non esiste una soluzione alternativa all’errore. Pertanto, si consiglia agli utenti di passare il prima possibile ad altri prodotti ancora supportati dal produttore.

L’azienda ha inoltre corretto una serie di altre vulnerabilità , incluso un grave bug nel Nexus Dashboard Fabric Controller (NDFC), che consentiva ad aggressori remoti non autorizzati di leggere file arbitrari.

Il bug è stato identificato come CVE-2024-20348 ed era associato a un server di provisioning web che poteva ricevere richieste dirette da aggressori remoti, consentendo loro di leggere file sensibili nel contenitore PnP, aprendo la porta a ulteriori attacchi all’infrastruttura PnP.

Il difetto interessava la versione NDFC 12.1.3b con la configurazione predefinita. Le versioni NDFC 12.1.2 e precedenti, nonché la 12.2.1, non sono interessate.

Inoltre, Cisco ha risolto bug in TelePresence Management Suite, Nexus Dashboard, Nexus Dashboard Orchestrator, Identity Services Engine (ISE), Enterprise Chat and Email, Unified Communications Manager IM & Presence Service e Emergency Responder.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks