Cisco предупреждава клиентите си за уязвимост в сигурността, засягаща Adaptive Security Appliance (ASA), която активно се използва от заплахи.
Бъгът, проследен като CVE-2014-2120 и с десетгодишна давност, включва недостатъчно валидиране на входните данни в страницата за вход в WebVPN на ASA, чрез което неавтентифициран отдалечен нападател може да извърши атака с кръстосано писане на сайтове (XSS).
През 2014 г. Cisco отбеляза, че „уязвимостта се дължи на недостатъчно валидиране на входния параметър“, като добави, че атакуващият може да се възползва от уязвимостта, като убеди потребителя да кликне върху злонамерена връзка.
Сега Cisco съобщава, че е узнала за опитите за експлоатация в дивата природа през ноември 2024 г. и препоръчва на клиентите да преминат към фиксирана версия на софтуера, за да намалят уязвимостта. Няма обходни пътища за този недостатък.
„Експлоатирането на десетгодишни уязвимости като грешката на ASA WebVPN подчертава едно постоянно предизвикателство в киберсигурността, а именно, че наследените уязвимости често остават неадресирани поради огромния обем проблеми със сигурността, с които организациите се сблъскват днес“, казва Мени Хар, главен изпълнителен директор и съосновател на Opus Security, в изявление, изпратено по електронната поща до Dark Reading. „Без ефективни рамки за приоритизиране критичните уязвимости могат да се промъкнат през пукнатините.“
