Cisco anahtar cihazlarında önemli bir güvenlik açığı tespit edildi

Güvenlik konusunda çeşitli çalışmalar yapan bir şirket olan Embedi’deki güvenlik araştırmacıları Cisco IOS ve Cisco IOS XE yazılımlarında kritik bir güvenlik açığı tespit ettiler. Siber saldırganlar, bu açığı kullanarak istedikleri kodu çalıştırarak ağ donanımının kontrolünü ele geçirerek ağ trafiğini üzerlerine alabiliyorlar.

Yığın tabanlı arabellek aşımı açığı, ağ yöneticilerinin ağ anahtarlarını kolayca dağıtabilmelerini sağlayan tak ve çalıştır yapılandırma ve imaj yönetim özelliği sağlayan Smart Install Client’da bulunuyor.

Embedi, Cisco’nun bugün güvenlik açığını kapatan yamayı çıkartmasından sonra teknik bilgileri ve güvenlik açığının ispatını (PoC – Proof of Concept) yayınladı. CVSS (Common Vulnerability Scoring System) puanlama sistemine göre güvenlik açığının derecesi oldukça kritik (9.8) bulunuyor.

Embedi’ye göre şu anda 8,5 milyonun üzerinde bu açıktan etkilenebilecek cihaz bulunuyor. Bunların 250 bin adedine henüz yama uygulanmamış ve saldırılara karşı savunmasız durumda. Saldırganların bu güvenlik açığını kullanarak, etkilenen cihazlarda sonsuz döngü oluşturarak hizmet dışı kalma saldırısı gerçekleştirme olasılığı da bulunuyor.