Cisco ພົບ​ຊ່ອງ​ໂຫວ່​ Zero-day ໃນ​ຊ໋ອບແວ​​ Prime Collaboration Deployment (PCD) ຂອງ​ຕົນເອງ​ ຊຶ່ງ​ສາມາດ​ນຳ​ມາ​ໃຊ້​ໃນ​ການ​ໂຈມ​ຕີ​ແບບ​ cross-site scripting.

ໂດຍ utility ທີ່ສຳລັບ​ຈັດການ​ເ​ຊີເວີ​​ນີ້​ຊ່ວຍ​ໃຫ້​ admin ສາມາດ​ດຳ​ເນີນ​ການ​ຍ້າຍ​ຂໍ້​ມູນ​ ຫຼື ​ອັບ​ເກຣດ​ (upgrade) tasks ເທິງ​ເ​ຊີ​ເວີ​ຂອງ​ອົງ​ກອນ​ໄດ້​.

ໃນຊ່ອງ​ໂຫວ່​ໝາຍ​ເລກ​ CVE-2023-20060 ໃນ​ອິນ​ເຕີເຟສ (Interface) web-based ການ​ຈັດການ​ເຄືອ​ຂ່າຍ​ຂອງ​ Cisco PCD 14 ຖືກ​ພົບ​ໂດຍ​ Pierre Vivegnis ຈາກ​ NATO Cyber Security Center (NCSC) ​ການ​ໃຊ້​ປະໂຫຍດ​ຈາກ​ຊ່ອງ​ໂຫວ່​ນີ້ຈະ​ເຮັດໃຫ້​ຜູ້​ໂຈມ​ຕີ​ສາມາດ​ໂຈມ​ຕີ​ແບບ​ cross-site scripting ແຕ່​ຍັງມີ​ເງື່ອນ​ໄຂ​ທີ່​ຕ້ອງ​ການ​ ຄືການ​ດຳ​ເນີນ​ງານຈາກ​ຝັ່ງ​ຜູ້​ໃຊ້​ງານ​ເຊັ່ນດຽວກັນ.​

Cisco ລະ​ບຸ​ວ່າ​ ຊ່ອງ​ໂຫວ່​ນີ້​ເກີດ​ຂຶ້ນ​​ຈາກ​ອິນ​ເຕີ​ເຟ​ສ​ການ​ຈັດການ​ເທິງ​ເວັບ​ບໍ່​ສາມາດ​ກວດ​ສອບ​ການ​ປ້ອນ​ຂໍ້​ມູນ​ທີ່​ຜູ້​ໃຊ້​ລະ​ບຸ​ໄດ້​ຢ່າງ​ຖືກ​ຕ້ອງ​ ຈຶ່ງ​ເຮັດໃຫ້​ຜູ້​ໂຈມ​ຕີ​ສາມາດ​ໃຊ້​ປະໂຫຍດ​ຈາກ​ຊ່ອງ​ໂຫວ່​ນີ້​ໄດ້​ ໂດຍ​ການ​ຈູງໃຈ​ໃຫ້​ຜູ້​ໃຊ້​ງານກົດລິ້ງ.

ການ​ໃຊ້​ປະໂຫຍດ​ຈາກ​ຊ່ອງ​ໂຫວ່​ນີ້​ຊ່ວຍ​ໃຫ້​ຜູ້​ໂຈມ​ຕີ​ສາມາດ​ເອີ້ນ​ໃຊ້​ script ໄດ້​ຕາມ​ທີ່​ຕ້ອງ​ການ​ ໃນ​ເວັບ​ອິນ​ເຕີເຟສ​ທີ່​ມີ​ຊ່ອງ​ໂຫວ່​ ຫຼື ​ສາມາດ​ເຂົ້າ​ເຖິງ​ຂໍ້​ມູນ​ທີ່​ມີ​ຄວາມ​ສຳຄັນ​.​ Cisco ໄດ້ແບ່ງປັນຂໍ້​ມູນ​ກ່ຽວກັບ​ຜົນ​ກະທົບ​ຂອງ​ຊ່ອງ​ໂຫວ່​ ແລະ​ ລະ​ບຸ​ວ່າ​ຈະ​ອອກ​ແພັດ (Patch) ​​ອັບ​ເດດ​ຄວາມ​ປອດ​ໄພ ເພື່ອ​ແກ້​ໄຂ​ບັນຫາ​ນີ້​ໃນ​ເດືອນ​ໜ້າ​ ຊຶ່ງໃນ​ປັດຈຸບັນຍັງ​ບໍ່​ມີ​ວິທີ​​ການ​ແກ້​ໄຂ​ບັນຫາ​ ໂດຍ​ Cisco Product Security Event Response Group (PSIRT) ລະ​ບຸ​ວ່າ​ຍັງ​ບໍ່​ພົບ​ຫຼັກ​ຖານ​ວ່າ​ມີ​ການ​ໂຈມ​ຕີ​ເກີດ​ຂຶ້ນ​ໃນ​ປັດຈຸບັນ​.

ເອກະສານອ້າງອີງ:

1. https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/
2. https://www.i-secure.co.th/2023/04/cisco-%e0%b9%80%e0%b8%9b%e0%b8%b4%e0%b8%94%e0%b9%80%e0%b8%9c%e0%b8%a2%e0%b8%8a%e0%b9%88%e0%b8%ad%e0%b8%87%e0%b9%82%e0%b8%ab%e0%b8%a7%e0%b9%88-xss-zero-day-%e0%b8%97%e0%b8%b5%e0%b9%88%e0%b8%9e%e0%b8%9a/