Af Eskil Sørensen, 01/05/23
Cisco har afsløret en 0-dagessårbarhed i virksomhedens Prime Collaboration Deployment (PCD)-software, der kan udnyttes til cross-site scripting-angreb. Det skriver Bleeping Computer. PCD er et serveradministrationsværktøj, der gør det muligt for administratorer at udføre migrerings- eller opgraderingsopgaver på servere.
Fejlen har id’et CVE-2023-20060 og ifølge vuldb.com en CVSS-score på 4,1. vuldb.com, som også overvåger handlen med udnyttelseskoder på Dark Web, opgør den aktuelle ’exploit price’ til at være 0-5.000 dollar. Udnyttelse gør det muligt for uautoriserede angribere at afvikle scriptangreb på tværs af websteder på afstand, men det kræver brugerinteraktion. Det er sandsynligvis derfor, at CVSS-scoren er så relativt lav.
Sårbarheden består i, at webbaserede administrationsgrænseflade ikke korrekt validerer brugerleveret input. Det kan en angriber udnytte ved at få en bruger af grænsefladen til at klikke på et særligt udformet link. Det kan give mulighed for at afvikle vilkårlig scriptkode i sammenhæng med den berørte grænseflade eller få adgang til følsom, browserbaseret information.
Det fremgår, at der ikke er frigivet sikkerhedsopdateringer til håndtering af sårbarheden i endnu, men det forventes at ske i løbet af denne måned. Indtil videre er der ingen tilgængelige løsninger til at fjerne angrebsvektoren.
Cisco Product Security Incident Response Team (PSIRT) har ikke fundet beviser for ondsindet udnyttelse in-the-wild og offentlig exploit-kode skulle efter sigende heller ikke være tilgængelig.