Cisco phát hành bản vá cho lỗ hổng trong BroadWorks

Cisco BroadWorks — Cisco BroadWorks Không Kìm Kìm Đúng Đối Tượng Ngoại Vi Trong XML. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-24. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và CISA’s “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Một lỗ hổng trong bộ giải mã XML của giao diện khách mở (OCI) của Cisco BroadWorks có thể cho phép một kẻ tấn công không xác thực, từ xa đọc thông tin cấu hình nhạy cảm trên hệ thống bị ảnh hưởng. Lỗ hổng này tồn tại do các mục XML không được phân tích đúng do việc giải quyết đối tượng ngoại vi được cho phép mặc định. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một tin nhắn XML đã tạo đến dịch vụ Open C…