SUSE by Ingram

Cisco เผยช่องโหว่ Zero-day บน AnyConnect Client แต่ยังไม่มีแพตช์อัปเดต

Cisco ได้เปิดเผยช่องโหว่ Zero-day ในซอฟต์แวร์ AnyConnect Secure Mobility Client แม้ปัจจุบันยังไม่มีแพตช์ออกมา

Credit: ShutterStock.com

ช่องโหว่ CVE-2020-3556 เป็นช่องโหว่ที่ช่วยให้คนร้ายระดับ Local ที่ไม่มีสิทธิ์สามารถรันสคิร์ปต์ในบริบทของผู้ใช้งานได้ โดยช่องโหว่เกิดขึ้นใน interprocess communication channel (IPC) ของ AnyConnect Client อย่างไรก็ดีการใช้ช่องโหว่ยังต้องมีปัจจัยประกอบ2 ส่วนคือ 1.) ต้องเปิด Auto Update (เป็นค่า Default) 2.) ต้องเปิด Scripting (ปกติปิดเอาไว้) ดังนั้นก็ดูเหมือนว่าการโจมตีช่องโหว่จะทำได้ไม่ง่าย ซึ่งช่องโหว่ยังส่งผลกระทบแค่กับ Windows, mac และ Linux เท่านั้น ไม่เกี่ยวกับ iOS และ Android

แม้ปัจจุบันยังไม่มีแพตช์ออกมา แต่ผู้ใช้งานสามารถบรรเทาปัญหาได้ด้วยการปิดทั้ง Auto Update และ Scripting โดยคาดว่าจะมีแพตช์ออกมาใน AnyConnect Client เวอร์ชันถัดไป

ที่มา : https://www.bleepingcomputer.com/news/security/cisco-discloses-anyconnect-vpn-zero-day-exploit-code-available/

About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Cloudflare เปิดตัวโปรเจ็ค Fair Shot ห้องรอดิจิทัลสำหรับลงทะเบียนรับวัคซีนโควิด

โปรเจ็ค Fair Shot เป็นระบบห้องรอในโลกดิจิทัลที่ Cloudflare ได้ปล่อยออกมาให้ผู้ที่ให้บริการวัคซีนโควิดนำไปใช้ได้ฟรี 

Forrester ยก Radware ขึ้นแท่นอันดับหนึ่งด้าน DDoS Mitigation

รายงานไตรมาสแรกของปี 2021 จาก Forrester ได้ยกให้โซลูชันจาก Radware ได้ครองแชมป์อันดับหนึ่งด้าน DDoS Mitigation