개요
Cisco (https://www.cisco.com) 에서는 공급한 제품의 취약점을 해결하는 보안 업데이트를 발표하였습니다. 해당하는 시스템 사용자는 최신 버전으로 업데이트하시기 바랍니다.
대상 제품
Cisco Data Center Network Manager
Cisco Identity Services Engine Software
Cisco Meraki MX Firmware
Cisco Nexus Dashboard Orchestrator
Cisco Small Business RV Series Router Firmware
Cisco TelePresence Video Communication Server (VCS) Expressway
Cisco Unified Computing System (Managed)
해결된 취약점
Cisco Data Center Network Manager에서 데이터 검증이 미흡하여 임의 명령 실행이 가능한 취약점 (CVE-2024-20432, CVSS 9.9) [1]
Cisco Small Business RV Series Router Firmware에서 웹 기반 관리 인터페이스는 민감한 정보를으로 인해 게스트에서 관리자로 권한을 승격시키는 취약점 (CVE-2024-20393, CVSS 8.8) [2]
Cisco Data Center Network Manager에서 부적절한 경로 검증으로 인해 임의 코드 실행이 가능한 취약점 (CVE-2024-20449, CVSS 8.8) [3]
Cisco Meraki MX Firmware에서 SSL VPN 세션 설정 중에 사용되는 핸들러에 대한 엔트로피가으로 인해 대상 SSL VPN 세션을 종료하고 원격 사용자가 새 VPN 연결을 시작하고 재인증하도록 강제하는 취약점 (CVE-2024-20498외 2개, CVSS 8.6) [4]
Cisco Unified Computing System (Managed)에서 입력값 검증이 미흡하여 관리자 수준으로 권한상승이 가능한 취약점 (CVE-2024-20365, CVSS 6.5) [5]
Cisco Identity Services Engine Software에서 특정 구성 설정에 대한 적절한 데이터 보호 메커니즘이 부족함으로 인해 일반적으로 읽기 전용 관리자에게 표시되지 않는 장치 자격 증명을 보는 취약점 (CVE-2024-20515, CVSS 6.5) [6]
Cisco Data Center Network Manager에서 구성 전용 및 전체 백업 파일 내에서 민감한 정보를 부적절하게 저장으로 인해 민감한 정보에 접근하는 취약점 (CVE-2024-20448, CVSS 6.3) [7]
Cisco TelePresence Video Communication Server (VCS) Expressway에서 사용자 입력값 검증이 미흡하여 관리자 권한 획득이 가능한 취약점 (CVE-2024-20492, CVSS 6.0) [8]
Cisco Nexus Dashboard Orchestrator에서 Cisco NDO Validate Peer Certificate 사이트 관리 기능은 새 사이트가 추가되거나 기존 사이트가 재등록될 때만 Cisco Application Policy Infrastructure Controller(APIC), Cisco Cloud Network Controller(CNC) 및 Cisco Nexus Dashboard에 대한 인증서를으로 인해 이들 장치 간 통신 중에 민감한 정보를 학습하는 취약점 (CVE-2024-20385, CVSS 5.9) [9]
Cisco Meraki MX Firmware에서 VPN 인증 프로세스 중에 사용되는 핸들러에 대한 약한 엔트로피와 동일한 프로세스에 존재하는 경쟁 조건으로 인해 대상 사용자로부터 anyconnect vpn 세션을 인수하거나 대상 사용자가 영향을 받는 장치와 anyconnect vpn 세션을 설정하지 못하도록 하는 취약점 (CVE-2024-20509, CVSS 5.8) [10]
Cisco Data Center Network Manager에서 데이터 검증이 미흡하여 민감한 파일을 덮어쓰거나 특정 컨테이너를 충돌시키는 취약점 (CVE-2024-20444, CVSS 5.5) [11]
취약점 패치
2024년 10월 02일 업데이트를 통해 제품별 취약점 패치가 제공되었습니다. 아래 참고 사이트의 제품별 정보에서 ‘Affected Products’와 ‘Fixed Software’ 내용을 참고하여 패치를 적용하시기 바랍니다.
참고 사이트
[1] Cisco Nexus Dashboard Fabric Controller Arbitrary Command Execution Vulnerability
[2] Cisco Small Business RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Privilege Escalation and Remote Command Execution Vulnerabilities
[3] Cisco Nexus Dashboard Fabric Controller Remote Code Execution Vulnerability
[4] Cisco Meraki MX and Z Series Teleworker Gateway AnyConnect VPN Denial of Service Vulnerabilities
[5] Cisco UCS B-Series, Managed C-Series, and X-Series Servers Redfish API Command Injection Vulnerability
[6] Cisco Identity Services Engine Information Disclosure Vulnerability
[7] Cisco Nexus Dashboard Fabric Controller Configuration Backup Information Disclosure Vulnerability
[8] Cisco Expressway Series Privilege Escalation Vulnerability
[9] Cisco Nexus Dashboard Orchestrator SSL/TLS Certificate Validation Vulnerability
[10] Cisco Meraki MX and Z Series Teleworker Gateway AnyConnect VPN Session Takeover and Denial of Service Vulnerability
[11] Cisco Nexus Dashboard Fabric Controller REST API Command Injection Vulnerability