แพตช์ความปลอดภัยของไซเซลล้มเหลวในการหยุดช่องโหว่ใหม่ที่ทำให้ผู้โจมตีสั่งการระบบได้

นักวิจัยระบุว่าแพตช์เวอร์ชันสองจุดเก้าศูนย์ แพตช์สอง ที่ปล่อยออกมาก่อนหน้านี้ล้มเหลวในการปิดกั้นการโจมตี เนื่องจากมีการเพิ่มการตรวจสอบตัวนับหลังจากที่พารามิเตอร์ที่มีขนาดเกินกำหนดถูกคัดลอกเข้าไปในหน่วยความจำแล้ว ทำให้ผู้โจมตีสามารถเปลี่ยนฟังก์ชันการทำงานให้รันคำสั่งของตนเองได้สำเร็จ โดยช่องโหว่นี้ได้รับคะแนนความรุนแรงเก้าจุดแปดจากสิบคะแนน

มีรายงานจากเกรย์นอยซ์ว่าผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่คล้ายคลึงกันเพื่อดึงข้อมูลจากการตั้งค่าสวิตช์และข้อมูลเครือข่ายจากอุปกรณ์จำนวนเก้าร้อยเก้าสิบหกเครื่องเมื่อกลางเดือนสิงหาคมที่ผ่านมา ในจำนวนนี้มีอุปกรณ์ห้าร้อยหกสิบสี่เครื่องที่ยังคงใช้รหัสผ่านเริ่มต้นจากโรงงาน ซึ่งเพิ่มความเสี่ยงในการถูกเข้าถึงโดยไม่ได้รับอนุญาตอย่างมาก

หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา ได้เพิ่มช่องโหว่เดิมลงในบัญชีรายการช่องโหว่ที่ถูกใช้โจมตีแล้ว และกำหนดให้หน่วยงานรัฐบาลกลางดำเนินการแก้ไขภายในเดือนกันยายน อย่างไรก็ตาม ช่องโหว่ใหม่ที่ถูกติดตามภายใต้รหัสซีวีอีสองศูนย์สองหกหนึ่งศูนย์เจ็ดสี่สี่หนึ่ง ยังไม่ถูกบรรจุในบัญชีดังกล่าว แม้ว่าจะมีหลักฐานว่ามีการใช้ประโยชน์จากช่องโหว่นี้ในการโจมตีจริงแล้วก็ตาม

บริษัท ไซเซล ได้ปล่อยเฟิร์มแวร์เวอร์ชันสองจุดเก้าศูนย์ แพตช์สาม สำหรับโมเดลสวิตช์จำนวนสิบรุ่นเพื่อแก้ไขปัญหานี้โดยสมบูรณ์ โดยการอัปเดตครั้งนี้จะมีการตรวจสอบตัวนับก่อนการคัดลอกพารามิเตอร์และจำกัดขนาดการคัดลอกข้อมูล แต่ทางบริษัทยังไม่ได้ระบุวิธีการแก้ไขชั่วคราวสำหรับเจ้าของอุปกรณ์ที่ไม่สามารถอัปเดตได้ทันที หรือขั้นตอนตรวจสอบหากอุปกรณ์ถูกบุกรุกไปแล้ว