یک #آسیب‌پذیری در مؤلفه تایید ایمیل DNS-based Authentication of Named Entities (DANE) نرم‌افزار AsyncOS سیسکو برای Email Security Appliance (ESA) کشف شده است که می‌تواند به یک مهاجم از راه دور احراز هویت نشده اجازه دهد شرایط حمله انکار سرویس را بر روی دستگاه آسیب‌دیده ایجاد کند.
این آسیب‌پذیری با شناسه CVE-2022-20653، شدت بالا و CVSS Score 7.5 شناسایی می‌شود. مدیریت ناکارآمد خطا در وضوح نام DNS توسط نرم‌افزار آسیب‌دیده دلیل به وجود آمدن آسیب‌پذیری مذکور است. مهاجم می‌تواند با ارسال پیام‌های ایمیل با فرمت خاص که توسط یک دستگاه آسیب‌پذیر پردازش می‌شوند، از این آسیب‌پذیری بهره‌برداری نماید. یک اکسپلویت موفق می‌تواند به مهاجم اجازه دهد تا دسترسی رابط‌های مدیریتی را به دستگاه آسیب‌پذیر ناممکن کند و یا پیام‌های ایمیل را برای مدت زمان مشخصی تا زمانی که دستگاه بازیابی شود، پردازش کند و در نهایت منجر به حمله DoS گردد. ادامه این حملات می‌تواند موجب شود دستگاه به طور کامل از دسترس خارج شده و در نتیجه شرایط پایدار DoS ایجاد شود.
آسیب‌پذیری مذکور، دستگاه‌های ESA سیسکو با نسخه آسیب‌پذیر نرم‌افزار AsyncOS را در صورتیکه ویژگی DANE در آنها فعال شده باشد و سرورهای ایمیل پیکربندی شده برای ارسال پیام‌های برگشتی اجرا کنند، تحت تأثیر قرار می‌دهد. ویژگی DANE به طور پیش‌فرض غیرفعال است. برای بررسی فعال بودن این ویژگی در دستگاه ESA سیسکو باید صفحه رابط کاربری وب را بررسی کرد: Mail Policies > Destination Controls > Add Destination و بررسی شود که آیا گزینه DANE Support فعال است یا خیر.
دستگاه‌هایی که DANE در آنها فعال نشده است تحت تأثیر این آسیب‌پذیری قرار نمی‌گیرند. سیسکو اعلام کرده است که محصولات Secure Email و Web Manager و همچنین Web Security Appliance (WSA) تحت تأثیر آسیب‌پذیری ذکر شده قرار ندارند. به کاربران توصیه می‌شود نرم‌افزار خود را به آخرین نسخه بروز و وصله‌شده مناسب ارتقاء دهند.
منبع:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-dos-MxZvGtgU
- 109