A Cisco lançou correções para duas vulnerabilidades de negação de serviço (DoS) de alta gravidade que afetam dispositivos Meraki MX, Meraki Z e Enterprise Chat and Email (ECE). A falha no Meraki, rastreada como CVE-2025-20212, estava presente no servidor AnyConnect VPN e permitia que um invasor com credenciais VPN válidas causasse a reinicialização do servidor, interrompendo conexões remotas. Esse problema foi resolvido nas versões de firmware 18.107.12, 18.211.4 e 19.1.4, e dispositivos executando versões 16.2 e 17 devem ser atualizados.
Leia também
App Store promoverá apps de desenvolvedores
IA reduz em 50% tempo para atacar contas
A segunda vulnerabilidade, CVE-2025-20139, afetava o sistema de bate-papo do ECE e permitia ataques remotos sem autenticação. Um invasor poderia explorar falhas na validação de informações fornecidas pelo usuário para interromper o funcionamento do aplicativo, exigindo uma reinicialização manual. A correção para esse problema foi incluída na versão 12.6 ES 10 do ECE, e usuários de versões anteriores são recomendados a atualizar.
Além dessas falhas críticas, a Cisco corrigiu vulnerabilidades de média gravidade nas interfaces web do Evolved Programmable Network Manager (EPNM) e Prime Infrastructure, que poderiam ser exploradas para ataques de cross-site scripting (XSS) remotos. A empresa afirma que não há evidências de exploração ativa dessas vulnerabilidades, mas recomenda a aplicação imediata dos patches.
A Cisco também atualizou seu alerta sobre duas falhas críticas no Smart Licensing Utility, CVE-2024-20439 e CVE-2024-20440, corrigidas em setembro de 2024. Essas falhas permitiam que invasores obtivessem acesso administrativo e acessassem arquivos de log, e começaram a ser exploradas ativamente em março de 2025. A empresa reforça a necessidade de atualização para mitigar riscos de segurança.
