📞 “Cisco อุดช่องโหว่ CVE-2025-20350 บน IP Phone” — ป้องกันการรีโหลดเครื่องจากการโจมตี DoS ผ่าน HTTP Cisco ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ความรุนแรงสูง CVE-2025-20350 ซึ่งส่งผลกระทบต่ออุปกรณ์ Cisco Desk Phone และ IP Phone หลายรุ่น เช่น 9800, 7800, 8800 และ 8875 ที่ใช้ Cisco SIP Software โดยช่องโหว่นี้เปิดทางให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถส่งข้อมูล HTTP ที่ถูกปรับแต่งมาอย่างเจาะจงเพื่อทำให้เครื่องรีโหลดและเกิดภาวะ Denial-of-Service (DoS) ช่องโหว่นี้เกิดจาก buffer overflow ใน web interface ของอุปกรณ์ ซึ่งจะทำงานได้ก็ต่อเมื่อเปิดใช้งาน Web Access และอุปกรณ์ได้ลงทะเบียนกับ Cisco Unified Communications Manager แล้ว โดยปกติ Web Access จะถูกปิดไว้เป็นค่าเริ่มต้น ทำให้ลดความเสี่ยงในระบบที่ไม่ได้เปิดใช้งานฟีเจอร์นี้ Cisco ยังเปิดเผยช่องโหว่อีกตัวคือ CVE-2025-20351 ซึ่งมีความรุนแรงระดับกลาง (CVSS 6.1) ที่เกี่ยวข้องกับการตรวจสอบ input ไม่เพียงพอใน web UI ทำให้ผู้โจมตีสามารถหลอกให้ผู้ใช้คลิกลิงก์ที่ถูกปรับแต่งเพื่อรัน JavaScript ในบริบทของเบราว์เซอร์ ไม่มีวิธีแก้ไขชั่วคราวสำหรับช่องโหว่ทั้งสองนอกจากการปิด Web Access หรืออัปเดต firmware เป็นเวอร์ชันที่ปลอดภัย ✅ ข้อมูลในข่าว ➡️ Cisco แก้ไขช่องโหว่ CVE-2025-20350 ที่ทำให้เกิด DoS บนอุปกรณ์ IP Phone ➡️ ช่องโหว่เกิดจาก buffer overflow เมื่อประมวลผล HTTP input ➡️ ต้องเปิด Web Access และลงทะเบียนกับ Cisco Unified Communications Manager เพื่อให้ช่องโหว่ทำงาน ➡️ Web Access ถูกปิดเป็นค่าเริ่มต้น ลดความเสี่ยงในระบบทั่วไป ➡️ ไม่มี workaround นอกจากการอัปเดต firmware หรือปิด Web Access ➡️ ช่องโหว่ CVE-2025-20351 เปิดทางให้โจมตีแบบ XSS ผ่าน web UI ➡️ อุปกรณ์ที่ได้รับผลกระทบ ได้แก่ Cisco Desk Phone 9800, IP Phone 7800, 8800, 8821 และ Video Phone 8875 ➡️ เวอร์ชันที่ปลอดภัย ได้แก่ SIP Software 3.3(1), 14.3(1)SR2, 14.4(1), และ 11.0(6)SR7 https://securityonline.info/cisco-patches-high-severity-cve-2025-20350-dos-flaw-in-desk-and-ip-phones/