Уровни привилегий Cisco IOS: контроль доступа к командам
Cisco предупреждает о критической уязвимости нулевого дня в IP-телефонах с истекшим сроком эксплуатации
Компания Cisco предупреждает о многочисленных критических уязвимостях «нулевого дня» удаленного выполнения кода в веб-интерфейсе управления устаревших IP-телефонов Small Business серий SPA 300 и SPA 500. Производитель не выпустил исправлений для этих устройств и не поделился советами по их устранению, поэтому пользователям этих продуктов придется как можно скорее перейти на более новые и активно поддерживаемые модели. Cisco раскрыла пять уязвимостей, три из которых оцениваются как критические (CVSS v3.1 score: 9.8), а две – как высокосерьезные (CVSS v3.1 score: 7.5). Критические уязвимости отслеживаются как CVE-2024-20450, CVE-2024-20452 и CVE-2024-20454...
Одна команда в консоли лишает разработчика всех уровней доступа: что известно об уязвимости в Cisco IOS XR
Иногда вся проблема сводится к одной неверно привязанной команде. Cisco предупредила об уязвимости в Cisco IOS XR Software, из-за которой пользователь с низким уровнем привилегий может обойти проверки task group и получить полный административный контроль над устройством. По данным SecurityLab, речь идёт о ситуации, когда одна команда в консоли позволяет фактически обнулить разграничение прав для разработчика или администратора с ограничённой ролью. В основе проблемы — ошибка в назначении прав для конкретной CLI-команды внутри исходного кода...