Cisco alerta para exploração de vulnerabilidade descoberta há dez anos

A Cisco atualizou um comunicado que abrange uma vulnerabilidade que existe há uma década para alertar os seus clientes sobre a exploração em curso da falha. A vulnerabilidade, registada como CVE-2014-2120, foi descrita como uma falha de XSS (cross-site scripting) de gravidade média que afeta a página de início de sessão da WebVPN dos produtos Cisco Adaptive Security Appliance (ASA).

Segundo a empresa de redes, um cibercriminoso remoto não autorizado pode explorar a vulnerabilidade para realizar ataques XSS contra utilizadores da WebVPN, levando-os a clicar numa ligação maliciosa. O aviso inicial sobre a presença desta falha nos sistemas da Cisco foi publicado a março de 2014.

“Em novembro de 2024, a Cisco Product Security Incident Response Team (PSIRT) ficou a par de tentativas adicionais de exploração desta vulnerabilidade. A Cisco continua a recomendar vivamente que os clientes atualizem para uma versão de software fixa para corrigir esta vulnerabilidade”, lê-se no comunicado atualizado pela Cisco.

A atualização da Cisco surge após a Cibersecurity & Infrastructure Security Agency (CISA) ter adicionado a vulnerabilidade ao catálogo de Know Exploited Vulnerabilities (KEV) no dia 12 de novembro, indicando que as agências governamentais deviam resolver a falha nos seus ambientes até ao dia 3 de dezembro.