Laburpen exekutiboa
Cisco-k hainbat kalteberatasun identifikatu ditu bere produktuetan larritasun handiarekin, eta horiek erabiliz, urrutiko erasotzaileek zerbitzuen erabilgarritasuna ukatu dezakete (DoS). Cisco Meraki MX eta Z Serieko AnyConnect VPN zerbitzarian, urrutiko eta autentifikatutako erasotzaile batek zerbitzuaren funtzionamendua geldiarazi dezake, SSL VPN saioak eraginda eta erabiltzaileak berriro autentifikatzeko behartuz. Bestalde, Cisco Enterprise Chat and Email (ECE) mezu-sistemaren funtzionalitateek kalteberatasun bat dute, urrutiko eta autentifikaziorik gabeko erasotzaileei eskubidea ematen diena eskaera kaltegarrien bidaltzeko, eta hori aplikazioa geldiarazteko eragin dezake. Bi kalteberatasunek zerbitzuen erabilgarritasunerako arrisku handia sortzen dute, eta operazio etenak eta erabiltzaileen esperientzia negatiboa eragin ditzakete. Cisco-k gomendatzen du segurtasun eguneratzeak aplikatzea arrisku hauek murrizteko.
Eragindako baliabideak
- Cisco Meraki MX Serie (MX64, MX64W, MX65, MX65W, MX67, MX67C, MX67W, MX68, MX68CW, MX68W, MX75, MX84, MX85, MX95, MX100, MX105, MX250, MX400, MX450, MX600, vMX)
- Cisco Meraki Z Serie (Z3, Z3C, Z4, Z4C)
- Cisco Enterprise Chat and Email (ECE)
Azterketa teknikoa
- CVE-2025-20139: Cisco Enterprise Chat and Email (ECE) mezu-funtzioetan kalteberatasun bat dago, urrutiko eta autentifikaziorik gabeko erasotzaile bati DoS egoera bat eragiten diona. Kalteberatasun hau erabiltzailearen sarreraren egiaztapen txarragatik gertatzen da. Erasotzaile batek kalteberatasun hau erabiltzen du aplikazioari eskaera kaltegarria bidaliz. Honek aplikazioa geldiarazi dezake eta berreskuratzeko administratzaileak zerbitzuak berriro abiarazi behar izango ditu.
- CWE-185
- CVSS: 7.5
- CVSS Vektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Abusu: Ez da detektatu
- CVE-2025-20212: Cisco Meraki MX eta Cisco Meraki Z Serieko AnyConnect VPN zerbitzari batean kalteberatasun bat dago, urrutiko eta autentifikatutako erasotzaile batek DoS egoera bat eragiten duena, Cisco AnyConnect zerbitzuan. Kalteberatasun hau gertatzen da SSL VPN saioa ez denean hasieratzen aldez aurretik hasieratu behar zen aldagai baten hasierak ez egiteagatik. Erasotzaile batek kalteberatasun hau erabiltzen du saio bat ezartzeko manipulatutako atributuak emanez, eta exploit bat arrakastaz izan daiteke. Honek, Cisco AnyConnect VPN zerbitzari berriro abiarazteko aukera emango du, SSL VPN saioak etenarazteko eta erabiltzaileak VPN konexio berri bat hastera eta berriro autentifikatzeko behartuko ditu.
- CWE-457
- CVSS: 7.7
- CVSS Vektorea: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H
- Abusu: Ez da detektatu
Arintzea/Konponbidea
Cisco Meraki-k ez du alternatibarik eskaintzen AnyConnect VPN zerbitzuaren kalteberatasunari buruz, beraz, DoS erasoa saihesteko firmware bertsioetan eguneratzea gomendatzen du: 18.107.12, 18.211.4 eta 19.1.4. Bertsio eguneratuak zerbitzu kontratuak dituzten bezeroentzat doan eskuragarri daude. Xehetasun gehiago eta bertsio afektatuak lortzeko, kontsultatu segurtasun oharra: Segurtasun oharra Cisco.