ซิสโก้ได้ออกมาเตือนถึงช่องโหว่ร้ายแรงบนเว็บเซิร์ฟเวอร์ที่อยู่เบื้องหลังโทรศัพท์ไอพี ซึ่งเปิดให้ผู้โจมตีสามารถเข้ามารันโค้ดจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน จนนำไปเปิดฉากการโจมตีแบบ DoS ได้
โดยมีการปล่อยโค้ดเจาะระบบตัวอย่างหรือ Proof-of-concept (PoC) โพสบน GitHub ในฐานะช่องโหว่ภายใต้รหัส CVE-2020-3161 ที่มีคะแนนความร้ายแรงแบบ CVSS มากถึง 9.8 เต็ม 10
ซึ่งล่าสุดทางซิสโก้เองได้ออกแพทช์มาแล้วเมื่อวันพุธก่อน เพื่ออุดช่องโหว่ที่กระทบกับโทรศัพท์ไอพีของซิสโก้หลายรุ่น ทั้งรุ่นที่ใช้กับธุรกิจขนาดเล็กไปจนถึงขนาดกลาง
ทางผู้ค้นพบอย่าง Jacob Baines จาก Tenable ระบุว่าเว็บเซิร์ฟเวอร์ของโทรศัพท์ไอพี ไม่ได้มีระบบตรวจสอบข้อมูลป้อนเข้าอย่าง HTTP request ที่เหมาะสมเพียงพอ ทำให้ผู้ไม่หวังดีเพียงแค่ส่งคำขอ HTTP request ที่ออกแบบเป็นพิเศษไปยังเอนด์พอยต์ที่เป็นตัว /deviceconfig/setActivationCode ที่อยู่บนเว็บเซิร์ฟเวอร์เป้าหมายเท่านั้น
ที่มา : Threatpost
