Cisco a mis en place des correctifs de sécurité pour 10 vulnérabilités affectant plusieurs produits, dont l'une est considérée comme critique et pourrait permettre de réaliser des attaques de type "absolute path traversal".

Selon la société, la faille critique est identifiée sous les noms CVE-2022-20812 et CVE-2022-20813, elle touche Cisco Expressway Series et Cisco TelePresence Video Communication Server (VCS) et pourrait permettre à un attaquant distant d'écraser des fichiers arbitraires ou de mener des attaques par empoisonnement d'octets nuls sur un appareil affecté.

Le premier problème (score CVSS : 9.0), permet à un attaquant authentifié à distance disposant des privilèges de lecture-écriture de l’administrateur d’écraser un fichier arbitraire dans l'API de la base de données du cluster afin de pouvoir monter des attaques de traversée de chemin en tant qu'utilisateur root.

"Cette vulnérabilité est due à une validation d'entrée insuffisante des arguments de commande fournis par l'utilisateur", a déclaré la société. "Un attaquant pourrait exploiter cette vulnérabilité en s'authentifiant sur le système en tant qu'utilisateur administratif en lecture-écriture et en soumettant des entrées rédigées à la commande affectée."

Une exploitation réussie de la faille pourrait permettre à l'adversaire d'écraser des fichiers arbitraires sur le système d'exploitation sous-jacent.

CVE-2022-20813 (score CVSS : 7.4), d'autre part, a été décrit comme une faille d'empoisonnement d'octets nuls due à une mauvaise validation de certificat, qui pourrait être utilisée par un attaquant pour organiser une attaque de type "man-in-the-middle" (MitM) et obtenir un accès non autorisé à des données sensibles.

Il est recommandé d’appliquer les mises à jour nécessaires afin d’atténuer tout risque possible.