Cisco เผยช่องโหว่ Zero-day บน AnyConnect Client แต่ยังไม่มีแพตช์อัปเดต

Cisco ได้เปิดเผยช่องโหว่ Zero-day ในซอฟต์แวร์ AnyConnect Secure Mobility Client แม้ปัจจุบันยังไม่มีแพตช์ออกมา

ช่องโหว่ CVE-2020-3556 เป็นช่องโหว่ที่ช่วยให้คนร้ายระดับ Local ที่ไม่มีสิทธิ์สามารถรันสคิร์ปต์ในบริบทของผู้ใช้งานได้ โดยช่องโหว่เกิดขึ้นใน interprocess communication channel (IPC) ของ AnyConnect Client อย่างไรก็ดีการใช้ช่องโหว่ยังต้องมีปัจจัยประกอบ2 ส่วนคือ 1.) ต้องเปิด Auto Update (เป็นค่า Default) 2.) ต้องเปิด Scripting (ปกติปิดเอาไว้) ดังนั้นก็ดูเหมือนว่าการโจมตีช่องโหว่จะทำได้ไม่ง่าย ซึ่งช่องโหว่ยังส่งผลกระทบแค่กับ Windows, mac และ Linux เท่านั้น ไม่เกี่ยวกับ iOS และ Android

แม้ปัจจุบันยังไม่มีแพตช์ออกมา แต่ผู้ใช้งานสามารถบรรเทาปัญหาได้ด้วยการปิดทั้ง Auto Update และ Scripting โดยคาดว่าจะมีแพตช์ออกมาใน AnyConnect Client เวอร์ชันถัดไป

ที่มา : https://www.bleepingcomputer.com/news/security/cisco-discloses-anyconnect-vpn-zero-day-exploit-code-available/