Cisco patcher fire kritiske sårbarheter i Identity Services og Webex som muliggjør RCE og brukerimitasjon. Mirai-varianten Nexcorium utnytter CVE-2024-3721 for å kapre TBK DVR-er til DDoS-botnett. Kritisk feil i Protobuf-biblioteket gjør det mulig å kjøre JavaScript-kode.
Cisco patcher fire kritiske sårbarheter i Identity Services og Webex som muliggjør RCE og brukerimitasjon
Cisco har publisert sikkerhetsoppdateringer for fire kritiske sårbarheter i Identity Services Engine (ISE), ISE-PIC og Webex som kan føre til fjernkjøring av kode, kommandoeksekvering og brukerimitasjon. De mest alvorlige feilene (CVSS opptil 9.9) skyldes utilstrekkelig validering av brukerinput og svak sertifikatvalidering i SSO-integrasjon. Dette kan gjøre det mulig for angripere med gyldige eller til og med uten autentisering i enkelte tilfeller å kjøre vilkårlige kommandoer, eskalere privilegier til root eller utgi seg for legitime brukere i Webex. I enkelte scenarioer kan også DoS oppstå ved at ISE-noder blir utilgjengelige. Cisco opplyser at det ikke er observert aktiv utnyttelse, men anbefaler rask oppdatering.
Oppdater til siste tilgjengelige versjoner av Cisco ISE og ISE-PIC i henhold til anbefalte patch-nivåer. For Webex SSO-brukere anbefales det å laste opp nytt SAML-sertifikat i Control Hub.
Mirai-varianten Nexcorium utnytter CVE-2024-3721 for å kapre TBK DVR-er til DDoS-botnett
Sikkerhetsforskere fra Fortinet og Palo Alto Networks har avdekket at angripere aktivt utnytter kjente sårbarheter i IoT‑ og nettverksenheter for å spre Mirai‑baserte botnett. I TBK‑DVR‑enheter misbrukes sårbarheten CVE‑2024‑3721 til å installere skadevaren Nexcorium, som gir angriperen varig tilgang og mulighet til å utføre DDoS‑angrep. Skadevaren kombinerer utnyttelse av sårbarheter med brute‑force‑angrep og sideveis spredning for å infisere flere enheter i samme nettverk. Samtidig observeres aktive angrepsforsøk mot utgåtte (EoL) TP‑Link‑rutere via CVE‑2023‑33538, og selv om mange av disse forsøkene feiler, viser de at gamle enheter uten oppdateringer og med standardpassord fortsatt utgjør en betydelig sikkerhetsrisiko og bør erstattes.
Kritisk feil i Protobuf-biblioteket gjør det mulig å kjøre JavaScript-kode
Det er avdekket en kritisk remote code execution‑sårbarhet (RCE) i protobuf.js, et svært utbredt JavaScript‑bibliotek brukt til strukturert datakommunikasjon i Node.js og skybaserte applikasjoner. Sårbarheten skyldes utrygg dynamisk kodegenerering, der biblioteket bygger og kjører JavaScript‑funksjoner basert på protobuf‑skjemaer uten tilstrekkelig validering av identifikatorer. Dette gjør det mulig for en angriper å levere et ondsinnet skjema som kan injisere og kjøre vilkårlig kode når applikasjonen behandler data. Feilen påvirker eldre versjoner av biblioteket og kan føre til kompromittering av servere eller utviklermiljøer. Brukere anbefales å oppgradere til oppdaterte versjoner og behandle protobuf-skjemaer som ikke-sikker input.
