Cisco remediază o eroare în Unified Messaging – Security

Cisco a intrat în 2024 cu o vulnerabilitate critică în produsul său unificat de mesagerie și mesagerie vocală, Cisco Unity Connection.

cisco Aviz pentru CVE-2024-20272 Arată că eroarea se află în interfața de gestionare web a Unity Connection.

Bug-ul a fost descoperit de Maxim Suslov. Cisco a spus că nu este conștient de nicio exploatare în sălbăticie.

„Această vulnerabilitate se datorează lipsei de autentificare în anumite API și validării necorespunzătoare a datelor furnizate de utilizator”, se arată în aviz.

Permite unui atacator să încarce fișiere arbitrare în sistem și să execute comenzi ale sistemului de operare.

„O exploatare de succes ar putea permite atacatorului să stocheze fișiere rău intenționate în sistem, să execute comenzi arbitrare pe sistemul de operare și să ridice privilegiile la root”, adaugă el.

Nu există o soluție pentru această eroare.

Vulnerabilitatea afectează Unity Connection versiunea 12.5 și versiunile anterioare; Și versiunea 14. Firmware-ul este disponibil pentru ambele ramuri, iar versiunea 15 nu este vulnerabilă.

Utilizatorii ar trebui să rețină că corecțiile nu sunt disponibile prin Centrul de descărcare a software-ului Cisco; Mai degrabă, este o versiune „de inginerie specială”, iar clienții trebuie să contacteze Centrul de asistență tehnică (TAC) Cisco pentru a obține remedierea.