Cisco ได้ออกอัปเดตซอฟต์แวร์เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยที่สำคัญใน Unity Connection ซึ่งอาจทำให้ผู้โจมตีสามารถดำเนินการคำสั่งที่พวกมันต้องการบนระบบพื้นฐานได้
ช่องโหว่นี้มีชื่อว่า CVE-2024-20272 (คะแนน CVSS: 7.3) เป็นช่องโหว่ประเภท arbitrary file upload ที่อยู่ในอินเทอร์เฟซการจัดการบนเว็บ และเป็นผลมาจากการขาดการพิสูจน์ตัวตนใน API และการตรวจสอบข้อมูลที่ผู้ใช้ไม่เหมาะสม
Cisco กล่าวในประกาศเมื่อวันพุธว่า “ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้โดยการอัปโหลดไฟล์ไปยังระบบที่ได้รับผลกระทบ ซึ่งถ้าการโจมตีสำเร็จอาจทำให้ผู้โจมตีสามารถฝังไฟล์อันตรายลงบนระบบขององค์กร และดำเนินการคำสั่งที่พวกมันต้องการบนระบบปฏิบัติการ และยกระดับสิทธิ์เป็น root ได้ในทันที”
อ่านเพิ่มเติมที่นี่ – THN
