ซิสโก้ออกมาเผยรายละเอียดช่องโหว่บนหน้าเว็บจัดการของ Cisco SPA112 2-Port Phone Adapter ที่เปิดช่องให้ผู้โจมตีเข้ามารันโค้ดอันตรายบนอุปกรณ์จากระยะไกล โดยไม่ต้องยืนยันตัวตนได้ เป็นช่องโหว่ภายใต้รหัส CVE-2023-20126
ช่องโหว่นี้ร้ายแรงระดับ “วิกฤติ” มีคะแนน CVSS สูงถึง 9.8 เกิดจากการข้ามกระบวนการยืนยันตัวตนในขั้นตอนการอัพเกรดเฟิร์มแวร์ ดังนั้นผู้โจมตีจึงใช้ประโยชน์จากช่องโหว่นี้ได้ด้วยการสร้างเฟิร์มแวร์เวอร์ชั่นอันตรายของตัวเองมาใช้
เมื่อเจาะช่องโหว่นี้แล้ว จะสามารถรันโค้ดได้ในสิทธิ์ที่สูงที่สุด ทั้งนี้ อแดปเตอร์โทรศัพท์ดังกล่าวกำลังได้รับความนิยมในตลาดสำหรับใช้แปลงโทรศัพท์อนาล็อกทั่วไปให้มาใช้งานบนเครือข่าย VoIP ได้ โดยไม่ต้องเปลี่ยนหรืออัพเกรดโทรศัพท์ใหม่
แต่รูปแบบการใช้งานมักไม่ได้ใช้ออกอินเทอร์เน็ตโดยตรง ทำให้ช่องโหว่นี้ยังมีแนวโน้มถูกใช้ในการโจมตีเฉพาะในวงแลนเดียวกัน ถึงอย่างนั้น เมื่อสามารถเข้าถึงอุปกรณ์เหล่านี้ได้แล้ว ก็จะสามารถเคลื่อนตัวเองไปบนเครือข่ายได้โดยไม่ถูกตรวจจับ
อ่านเพิ่มเติมที่นี่ – BPC
