November 29, 2022

Language:

CamSA22-36: ចំណុចខ្សោយធ្ងន់ធ្ងរបំផុតជាច្រើនមាននៅក្នុងផលិតផល Cisco

១. ព័ត៌មានទូទៅ

ក្រុមហ៊ុន Cisco បាន​ចេញ​សេចក្តី​ណែនាំសន្តិសុខបន្ទាន់មួយ​អំពីការធ្វើបច្ចុប្បន្នភាពទៅលើភាពងាយរងគ្រោះ ដើម្បីជួសជុលបិទចន្លោះប្រហោង ​(ចំណុចខ្សោយ) ជាច្រើនក្នុងផលិតផលរបស់ខ្លួន។ ចំណុចខ្សោយទាំងនេះត្រូវបានត្រួតពិនិត្យឃើញថាមានកម្រិតសុវត្ថិភាពធ្ងន់ធ្ងរបំផុត និង​ទាម​ទារ​ឱ្យ​មាន​វិធាន​ការ​ជា​បន្ទាន់​ ដែលមានដូចជា៖

  • CVE-2022-20696: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវិធី Cisco SD-WAN vManage Software ដោយសារតែកម្មវិធីមានកំហុសឆ្គង​នៅក្នុងប្រព័ន្ធ server container ports ដែលអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ឬហេកគ័រ អាចចូលប្រើប្រាស់ VPN0 logical network និងអាចធ្វើប្រតិបត្តិកូដបំពាននៅលើប្រព័ន្ធដែលជាគោលដៅបានដោយជោគជ័យ
  • CVE-2022-28199: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវិធី Cisco NVIDIA Data Plane ដោយសារតែកម្មវិធីមានកំហុសឆ្គង​នៅក្នុងប្រព័ន្ធ Cisco Bug Search Tool ដែលអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ឬហេកគ័រ អាចធ្វើប្រតិបត្តិកូដបំពាននៅលើប្រព័ន្ធដែលជាគោលដៅបានដោយជោគជ័យ

២. ផលិតផលប៉ះពាល់

  • –    IOS XE SD-WAN Software
  • –    SD-WAN vBond Orchestrator Software
  • –    SD-WAN vEdge Cloud Routers
  • –    SD-WAN vEdge Cloud Routers
  • –   SD-WAN vEdge Routers
  • –   SD-WAN vSmart Controller Software
  • –   Cisco Catalyst 8000V Edge Software
  • –   Adaptive Security Virtual Appliance (ASAv)
  • –   Secure Firewall Threat Defense Virtual (formerly FTDv

៣. ផលវិបាក

ការវាយប្រហារដោយជោគជ័យទៅលើចំនុចខ្សោយខាងលើនេះ អាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ឬហេកគ័រ ដំណើរការនូវកូដនានាពីចម្ងាយហើយធ្វើការគ្រប់គ្រងទៅលើម៉ាស៊ីនរងគ្រោះ ដើម្បីធ្វើសកម្មភាពមិនអនុញ្ញាតនានា រួមមានការ ដំឡើងកម្មវិធី បង្កើតនូវគណនីអភិបាលផ្សេងទៀត និងការបើកផ្លាស់ប្តូរ ឬលុបទិន្នន័យ។

៤. អនុសាសន៍ណែនាំ

ការិយាល័យ CamCERT សូមធ្វើការណែនាំដល់អ្នកប្រើប្រាស់ សូមធ្វើបច្ចុប្បន្នភាពកម្មវិធីដែលបានរងផលប៉ះពាល់ខាងលើ​ជាបន្ទាន់​ទៅកាន់កំណែចុងក្រោយបំផុត (Latest version)។

៥. ឯកសារពាក់ព័ន្ធ

  • – https://www.cisa.gov/uscert/ncas/current-activity/2022/09/08/cisco-releases-security-updates-multiple-products
***Disclaimer: CamCERT own some of the content. Our purpose is pure to help spread the awareness, tips or other information related to security to everyone. Even though every information is true, accurate, completed and appropriate, we make no responsibility nor warranty since everything could go wrong.