Kwetsbaarheden Verholpen in Cisco Small Business IP Phones

Het Nationaal Cyber Security Centrum (NCSC) heeft een beveiligingsadvies vrijgegeven over verholpen kwetsbaarheden in de Cisco Small Business IP Phones. Deze kwetsbaarheden zouden door kwaadwillenden kunnen worden misbruikt om ongeautoriseerde acties uit te voeren.

Overzicht

Cisco heeft meerdere kwetsbaarheden in de firmware van hun Small Business IP Phone systemen gedicht. Deze kwetsbaarheden zouden kunnen worden benut door aanvallers om zonder voorafgaande authenticatie willekeurige code uit te voeren op het kwetsbare systeem. Het gebruikelijk advies is om dergelijke interfaces niet publiek toegankelijk te maken, maar af te schermen binnen een aparte beheeromgeving.

Details van de Kwetsbaarheid

Referentie: NCSC-2024-0327 [1.00]
Publicatiedatum: Vandaag
Kans: Medium
Schade: Hoog

Kenmerken:

• Type aanval: Buffer Copy zonder het controleren van de invoergrootte (‘Classic Buffer Overflow’)

Omschrijving:

Cisco heeft updates uitgebracht voor hun firmware van de Small Business IP Phones, specifiek voor de SPA300 en SPA500 series. Deze updates zijn essentieel omdat een kwaadwillende met toegang tot de web-management interface van deze systemen, in staat zou zijn om zonder authenticatie code uit te voeren en daarmee controle te verkrijgen over het apparaat.

Bereik:

De kwetsbaarheid betreft meerdere firmwareversies van de volgende producten:

• Platforms:

  • Cisco Small Business IP Phones
  • Cisco SPA300
  • Cisco SPA500

• Firmwareversies:

  • V1.0.17 t/m V7.6.2sr7

Oplossing:

Cisco heeft firmware-updates beschikbaar gesteld om deze kwetsbaarheden te verhelpen. Bezoek de volgende link voor meer informatie.

CVE’s:

De specifieke kwetsbaarheden zijn gecategoriseerd onder de volgende CVE’s:

• CVE-2024-20450
• CVE-2024-20451
• CVE-2024-20454

Downloads en verwezen links

Het volledige beveiligingsadvies kan in verschillende formaten worden gedownload:

• Signed PGP
• Text
• CSAF
• PDF

Gebruik van deze security advisory is onderhevig aan de volgende voorwaarden. Het NCSC heeft met zorg deze advisory samengesteld, echter kunnen ze niet instaan voor de volledigheid, juistheid of actualiteit van de informatie. Dit advies is bedoeld als algemene informatie voor professionele partijen en er kunnen geen rechten aan worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor eventuele schade voortvloeiend uit het gebruik van dit advies. Op dit advies is Nederlands recht van toepassing, met geschillen voorgelegd aan de bevoegde rechter te Den Haag.

Meer informatie kunt u vinden op de NCSC-website.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----