ซิสโก้ออกประกาศแจ้งเตือนช่องโหว่ CVE-2020-3556 ของโปรแกรม AnyConnect Secure Mobility เวอร์ชั่นเดสก์ทอปทั้งวินโดวส์, ลินุกซ์, และแมค โดยช่องโหว่ยังไม่มีแพตช์แต่ทางซิสโก้แจ้งเตือนออกมาเนื่องจากมีโค้ดตัวอย่างออกมาสู่สาธารณะแล้ว

ช่องโหว่เกิดจากการเชื่อมต่อระหว่างโปรเซส (interprocess communication) ที่คนร้ายที่รันโปรแกรมบนเครื่องอยู่แล้วสามารถยิงข้อมูลที่ออกแบบเฉพาะเข้าไปยัง AnyConnect เพื่อรันสคริปต์ได้

ตอนนี้ยังไม่มีแพตช์และช่องทางแก้ไข แต่ซิสโก้แนะนำแนวทางลดความเสี่ยง เช่น การปิดฟีเจอร์ AutoUpdate และปิดคอนฟิก Enable Scripting จะช่วยลดโอกาสการโจมตี นอกจากนี้หากองค์กรมีการควบคุมการติดตั้งซอฟต์แวร์ลงบนเครื่องให้จำกัดเฉพาะซอฟต์แวร์ที่น่าเชื่อถือก็ลดความเสี่ยงได้

ช่องโหว่มีความเสี่ยงตามคะแนน CVSSv3 ที่ 7.3 คะแนน (Base 7.3 CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H/E:X/RL:X/RC:X) ถือว่ามีความเสี่ยงระดับสูง

ที่มา - Cisco

ภาพหน้าจอ Cisco AnyConnect Secure Mobility Client