Cisco แพตช์ช่องโหว่รหัสผ่าน Root ที่ไม่ระบุในเอกสาร

Cisco ออกแพตช์จำนวน 25 รายการ โดยหนึ่งในช่องโหว่ที่ได้รับการแก้ไขในแพตช์นี้คือรหัสผ่านที่ไม่เคยระบุในเอกสารของซอฟต์แวร์ Cisco Policy Suite หรือซอฟต์แวร์ที่เป็น Framework เพื่อสร้าง Rule ให้ฝั่ง Business Logic นำไปใช้ เช่น เราเตอร์ เกตเวย์ มือถือ และ WiFi ซึ่งมักขายให้กับ ISP หรือองค์กรใหญ่ๆ ที่อนุญาตให้ผู้ดูแลใช้ Policy คุมการใช้งาน Bandwidth หรือแผน Subscription เพื่อใช้งานกับลูกค้าหรือพนักงาน

ช่องโหว่ข้างต้นมีรหัสอ้างอิง CVE-2018-0375 และถูกค้นพบระหว่างการตรวจสอบภายใน ซึ่งอาจทำให้แฮ็กเกอร์ได้สิทธิ์ระดับสูงเพื่อปฏิบัติการอันตราย โดยคะแนนความรุนแรง (CVSSv3) อยู่ 9.8 เลยทีเดียว อย่างไรก็ตามไม่มีการ Workaround ดังนั้นผู้ใช้งาน Cisco Policy Suite ต้องอัปเดตเป็นเวอร์ชัน 18.2.0 เพื่อแก้ไขเท่านั้น นอกจากนี้แพตช์ชุดเดียวกันยังมีการแก้ไขช่องโหว่ของ Cisco Policy Suite ที่ส่งผลให้เกิด ‘Unauthenticated Remote Access’ คือ CVE-2018-0374, CVE-2018-0376 และ CVE-2018-0377 ผู้สนใจสามารถติดตามรายงานแพตช์ฉบับเต็มได้ที่นี่

ที่มา : https://www.bleepingcomputer.com/news/security/cisco-removes-undocumented-root-password-from-bandwidth-monitoring-software/ และ https://www.infosecurity-magazine.com/news/cisco-rushes-out-25-patches/