Cisco hat Patches veröffentlicht, um eine kritische Sicherheitslücke im Wireless LAN Controller (WLC) zu schließen, die von einem nicht authentifizierten Angreifer missbraucht werden könnte, um die Kontrolle über ein betroffenes System zu übernehmen.
Die Schwachstelle mit der Bezeichnung CVE-2022-20695 wurde mit 10 von 10 Punkten bewertet und ermöglicht es einem Angreifer, die Authentifizierungskontrollen zu umgehen und sich über die Verwaltungsoberfläche des WLC in das Gerät einzuloggen.
„Diese Schwachstelle ist auf die unsachgemäße Implementierung des Passwortvalidierungsalgorithmus zurückzuführen“, so das Unternehmen in einem Advisory. „Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er sich mit gefälschten Anmeldedaten bei einem betroffenen Gerät anmeldet.
Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann ein Angreifer Administratorrechte erlangen und bösartige Aktionen durchführen, die eine vollständige Übernahme des anfälligen Systems ermöglichen.
Das Unternehmen betonte, dass das Problem nur die folgenden Produkte betrifft, wenn sie mit der Cisco WLC Software Release 8.10.151.0 oder Release 8.10.162.0 arbeiten und die macfilter radius compatibility als Other konfiguriert ist –
3504 Wireless Controller
5520 Drahtlos-Controller
8540 Drahtloser Controller
Mobility Express, und
Virtueller Wireless Controller (vWLC)
Den Benutzern wird empfohlen, auf Version 8.10.171.0 zu aktualisieren, um die Schwachstelle zu beheben. Cisco Wireless LAN Controller der Versionen 8.9 und früher sowie 8.10.142.0 und früher sind nicht anfällig.
Cisco schreibt einem ungenannten Forscher von Bispok zu, die Schwachstelle gemeldet zu haben, und sagt, dass es keine Hinweise darauf gibt, dass CVE-2022-20695 aktiv ausgenutzt wird.
Außerdem hat der Netzwerkausrüster in dieser Woche 14 Schwachstellen mit hohem und neun mit mittlerem Schweregrad gepatcht, die Cisco IOS XE/XR und die SD-WAN vManage Software sowie Catalyst Digital Building Series Switches und Catalyst Micro Switches betreffen.