Cisco แจ้งเตือนช่องโหว่ RCE Zero-days ระดับ Critical ใน IP phones ที่หมดอายุการสนับสนุน

Cisco ออกมาแจ้งเตือนถึงช่องโหว่ Zero-days การเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) ระดับ Critical ซึ่งเป็นช่องโหว่ในอินเตอร์เฟซการจัดการผ่านเว็บของ IP phones รุ่น Small Business SPA 300 และ SPA 500 ที่หมดอายุการสนับสนุนไปแล้ว (end-of-life)

Cisco ยังไม่มีแพตซ์สำหรับแก้ไขช่องโหว่สำหรับอุปกรณ์เหล่านี้ รวมถึงยังไม่ได้แจ้งวิธีในการลดผลกระทบ ดังนั้นผู้ใช้งานผลิตภัณฑ์เหล่านี้จึงต้องย้ายไปใช้รุ่นใหม่ที่ยังได้รับการสนับสนุนอย่างต่อเนื่องโดยเร็วที่สุด

รายละเอียดของช่องโหว่

Cisco ได้เปิดเผยช่องโหว่ทั้งหมดห้ารายการ ซึ่งสามรายการมีความรุนแรงระดับ Critical (คะแนน CVSS v3.1: 9.8) และสองรายการจัดอยู่ในความรุนแรงระดับ High (คะแนน CVSS v3.1: 7.5)

ช่องโหว่ระดับ Critical คือ CVE-2024-20450, CVE-2024-20452 และ CVE-2024-20454

ช่องโหว่ buffer overflow เหล่านี้ทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถ Run คำสั่งที่ต้องการบนระบบปฏิบัติการด้วยสิทธิ์ root โดยการส่ง HTTP request ที่สร้างขึ้นมาเป็นพิเศษไปยังอุปกรณ์เป้าหมาย

สองช่องโหว่ที่มีความรุนแรงระดับ High คือ CVE-2024-20451 และ CVE-2024-20453 เกิดจากการตรวจสอบแพ็คเก็ต HTTP ที่ไม่เหมาะสม ซึ่งทำให้แพ็คเก็ตที่เป็นอันตรายสามารถทำให้เกิดการปฏิเสธการให้บริการ (DoS) บนอุปกรณ์ที่มีช่องโหว่ได้

Cisco ระบุว่าช่องโหว่ทั้งห้ารายการส่งผลกระทบต่อซอฟต์แวร์ทั้งหมดที่รันบน IP phones รุ่น SPA 300 และ SPA 500 โดยไม่ขึ้นกับการตั้งค่าใด ๆ และแต่ละช่องโหว่สามารถถูกโจมตีได้แยกกัน

หมดอายุการสนับสนุน

ตาม Support portal ของ Cisco อุปกรณ์รุ่น SPA 300 ถูกขายให้กับลูกค้าครั้งสุดท้ายในเดือนกุมภาพันธ์ 2019 และสิ้นสุดการสนับสนุนในอีก 3 ปีต่อมาคือในเดือนกุมภาพันธ์ 2022

สำหรับ SPA 500, Cisco หยุดขายฮาร์ดแวร์ในวันเดียวกับวันที่หมดอายุการสนับสนุน คือวันที่ 1 มิถุนายน 2020

Cisco ยังสนับสนุน SPA 500 จนถึงวันที่ 31 พฤษภาคม 2025 สำหรับผู้ถือสัญญาการบริการ หรือเงื่อนไขการรับประกันพิเศษ แต่ SPA 300 ไม่มีการสนับสนุนตั้งแต่วันที่ 29 กุมภาพันธ์ 2024

ทั้งสองรุ่นจะไม่ได้รับการอัปเดตด้านความปลอดภัย ดังนั้นผู้ใช้งานควรเปลี่ยนไปใช้รุ่นที่ใหม่กว่า และยังได้รับการ Support เช่น Cisco IP Phone 8841 หรือรุ่นจาก Cisco 6800 series

Cisco ยังมีโปรแกรม Technology Migration Program (TMP) ซึ่งอนุญาตให้ลูกค้าสามารถแลกเปลี่ยนอุปกรณ์ที่มีสิทธิ์ และรับเครดิตสำหรับอุปกรณ์ใหม่

หากไม่แน่ใจเกี่ยวกับทางเลือกการใช้งาน ผู้ใช้ควรติดต่อศูนย์ช่วยเหลือทางเทคนิค (TAC) ของ Cisco

ที่มา  : bleepingcomputer