Een nieuw gevonden kwetsbaarheid in Cisco IOS XE laat aanvallers de controle over een getroffen apparaat overnemen. Het NCSC en Cisco beschouwen het probleem als zeer kritiek en adviseren gebruikers risico beperkende maatregelen te nemen.

De kwetsbaarheid in kwestie is CVE-2023-20198 en zit in de web-gebruikersinterface van het Cisco besturingssysteem IOS XE. Via de fout kan een niet-geauthentiseerde aanvaller zelf een account aanmaken op het systeem met het hoogste toegangsniveau, 15. Daarmee kan de aanvaller de volledige controle krijgen over het getroffen systeem. 

Zowel Cisco als het Nederlandse NCSC beschouwen de kwetsbaarheid als zeer kritiek. De fout krijgt dan ook een CVSS-score van 10 op een schaal van 10, en het NCSC beoordeelt het als High-High. Concreet betekent dit dat de kans op schade en de kans op misbruik zeer groot is. Cisco zegt zelfs dat de fout al actief misbruikt wordt.

Deze versturen we 3-4x per jaar.