Cisco khắc phục lỗi leo thang đặc quyền nghiêm trọng trong quản lý cuộc họp (CVSS 9.9)
Cisco đã phát hành bản cập nhật phần mềm để giải quyết lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến Quản lý cuộc họp, có thể cho phép kẻ tấn công từ xa đã xác thực có được quyền quản trị viên trên các phiên bản dễ bị tấn công.
Lỗ hổng bảo mật được theo dõi là CVE-2025-20156, có điểm CVSS là 9,9 trên 10,0. Lỗ hổng này được mô tả là lỗ hổng leo thang đặc quyền trong REST API của Cisco Meeting Management.
"Lỗ hổng này tồn tại vì người dùng REST API không được cấp quyền hợp lệ", công ty cho biết trong một thông báo vào thứ Tư. "Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi yêu cầu API đến một điểm cuối cụ thể".
"Một khai thác thành công có thể cho phép kẻ tấn công giành được quyền kiểm soát cấp quản trị viên đối với các nút biên được quản lý bởi Cisco Meeting Management."
Chuyên gia thiết bị mạng đã ghi nhận Ben Leonard-Lagarde của Modux vì đã báo cáo về thiếu sót bảo mật. Nó ảnh hưởng đến các phiên bản sau của sản phẩm bất kể cấu hình thiết bị -
- Phiên bản phát hành Cisco Meeting Management 3.9 (Đã vá trong 3.9.1)
- Phiên bản phát hành Cisco Meeting Management 3.8 trở về trước (Di chuyển sang phiên bản cố định)
- Phiên bản phát hành Cisco Meeting Management 3.10 (Không dễ bị tấn công)
Cisco cũng đã phát hành các bản vá để khắc phục lỗ hổng từ chối dịch vụ (DoS) ảnh hưởng đến BroadWorks bắt nguồn từ việc xử lý bộ nhớ không đúng cách đối với một số yêu cầu Giao thức khởi tạo phiên (SIP) (CVE-2025-20165, điểm CVSS: 7,5). Sự cố đã được khắc phục trong phiên bản RI.2024.11.
"Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một số lượng lớn yêu cầu SIP đến hệ thống bị ảnh hưởng", báo cáo cho biết .
"Một khai thác thành công có thể cho phép kẻ tấn công làm cạn kiệt bộ nhớ được phân bổ cho Máy chủ mạng Cisco BroadWorks xử lý lưu lượng SIP. Nếu không có bộ nhớ, Máy chủ mạng không thể xử lý các yêu cầu đến nữa, dẫn đến tình trạng DoS đòi hỏi phải can thiệp thủ công để khôi phục."
Lỗ hổng thứ ba được Cisco vá là CVE-2025-20128 (điểm CVSS: 5.3), một lỗi tràn số nguyên ảnh hưởng đến quy trình giải mã Liên kết và Nhúng đối tượng 2 (OLE2) của ClamAV, cũng có thể dẫn đến tình trạng DoS.
Công ty đã thừa nhận Google OSS-Fuzz đã báo cáo lỗ hổng này và cho biết họ biết về sự tồn tại của mã khai thác bằng chứng khái niệm (PoC), mặc dù không có bằng chứng nào cho thấy mã này đã bị khai thác có chủ đích trong thực tế.
CISA và FBI Chi tiết Chuỗi khai thác Ivanti[#](#cisa-and-fbi-detail-ivanti-exploit-chains)
Tin tức về lỗ hổng của Cisco xuất hiện khi các cơ quan thực thi pháp luật và an ninh mạng của chính phủ Hoa Kỳ công bố thông tin chi tiết kỹ thuật về hai chuỗi khai thác được các nhóm tin tặc quốc gia sử dụng để đột nhập vào các ứng dụng dịch vụ đám mây của Ivanti vào tháng 9 năm 2024.
Các lỗ hổng đang được đề cập đến như sau:
- CVE-2024-8963 , lỗ hổng bỏ qua quản trị
- CVE-2024-9379 , lỗ hổng tiêm SQL
- CVE-2024-8190 và CVE-2024-9380 , hai lỗ hổng thực thi mã từ xa
Theo Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) và Cục Điều tra Liên bang (FBI), trình tự tấn công liên quan đến việc lạm dụng CVE-2024-8963 kết hợp với CVE-2024-8190 và CVE-2024-9380 trong một trường hợp, và CVE-2024-8963 và CVE-2024-9379 trong trường hợp còn lại.
Điều đáng chú ý là chuỗi khai thác đầu tiên đã được Fortinet FortiGuard Labs tiết lộ vào tháng 10 năm 2024. Trong ít nhất một trường hợp, kẻ tấn công được cho là đã thực hiện di chuyển ngang sau khi đạt được chỗ đứng ban đầu.
Chuỗi khai thác thứ hai được phát hiện có thể tận dụng CVE-2024-8963 kết hợp với CVE-2024-9379 để truy cập vào mạng mục tiêu, tiếp theo là các nỗ lực không thành công nhằm cấy shell web để duy trì hoạt động.
"Những kẻ đe dọa đã xâu chuỗi các lỗ hổng được liệt kê để có được quyền truy cập ban đầu, thực hiện thực thi mã từ xa (RCE), lấy thông tin xác thực và cấy shell web vào mạng của nạn nhân", các cơ quan cho biết . "Thông tin xác thực và dữ liệu nhạy cảm được lưu trữ trong các thiết bị Ivanti bị ảnh hưởng nên được coi là bị xâm phạm.