思科提醒注意通信软件中的严重 RCE 漏洞
2024-1-26 18:43:51 Author: mp.weixin.qq.com(查看原文) 阅读量:21 收藏

 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

思科提醒称,多款 Unified Communications Manager (CM) 和 Contact Center Solutions 产品易受严重的远程代码执行漏洞 (CVE-2024-20253) 影响。

思科 Unified Communications 和 Contact Center Solutions 是一体化解决方案,提供企业级语音、视频和消息服务以及客户参与和管理。该公司已发布安全公告提醒注意该漏洞,它可导致未认证的远程攻击者在受影响设备上执行任意代码。

该漏洞由 Synacktiv 公司的研究员 Julien Egloff 发现,CVSS 评分为9.9分,是由不正确地将用户提供的数据读取处理到内存导致的。攻击者可向监听端口发送特殊构造的信息,可能以 web 服务用户的权限获得执行任意命令的能力并建立root 访问权限。

该漏洞影响默认配置下的如下思科产品:

  • Packaged Contact Center Enterprise (PCCE) 12.0 及更早版本, 12.5(1) 和12.5(2)。

  • Unified Communications Manager (Unified CM) 版本11.5、12.5(1) 和14(Unified CM SME,同)。

  • Unified Communications Manager IM & Presence Service (Unified CM IM&P) 版本11.5(1)、12.5(1) 和14。

  • Unified Contact Center Enterprise (UCCE) 12.0 及更早版本,12.5(1) 和 12.5(2)。

  • Unified Contact Center Express (UCCX) 12.0 及更早版本和12.5(1)。

  • Unity Connection versions 11.5(1)、12.5(1) 和14。

  • Virtualized Voice Browser (VVB) 12.0及更早版本,12.5(1) 和12.5(2)。

思科表示目前不存在应变措施,推荐应用可用的安全更新。如下发布修复了这个严重的远程代码执行漏洞:

  • PCCE: 12.5(1) 和12.5(2) 应用补丁ucos.v1_java_deserial-CSCwd64245.cop.sgn。

  • Unified CM和Unified CME:12.5(1)SU8 或 ciscocm.v1_java_deserial-CSCwd64245.cop.sha512. 14SU3 或 ciscocm.v1_java_deserial-CSCwd64245.cop.sha512。

  • Unified CM IM&P: 12.5(1)SU8 或 ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512. 14SU3 或 ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512。

  • UCCE: 为12.5(1) 和 12.5(2) 应用补丁ucos.v1_java_deserial-CSCwd64245.cop.sgn。

  • UCCX: 为12.5(1) 应用补丁ucos.v1_java_deserial-CSCwd64245.cop.sgn。

  • VVB:为 12.5(1) 和12.5(2) 应用补丁ucos.v1_java_deserial-CSCwd64245.cop.sgn。

思科建议管理员如无法利用更新,则设置访问控制列表 (ACLs) 作为缓解措施。具体而言,建议用户在中间设备上执行ACLs,将Cisco Unified Communications 或 Cisco Contact Center Solutions 集群与用户和其它网络分隔开。必须将ACLs 配置为仅允许访问所部署服务的端口,从而控制能够触及受影响组件的流量。

在部署任何缓解措施之前,管理员应当评估它们的可用性以及对环境的潜在影响,并在受控空间进行测试,确保业务运营不受影响。思科表示并未发现该漏洞遭公开或被恶意利用的证据。

代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com

推荐阅读

思科称严重的 Unity Connection 漏洞可导致攻击者获得root权限

思科新0day 被用于在数千台设备上植入恶意后门 Lua

思科披露称严重的 IOS XE 认证绕过0day已遭利用

思科紧急修复 Emergency Responder 系统中的严重漏洞

原文链接
https://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-rce-flaw-in-communications-software/

题图:Pexels License

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错,就点个 “在看” 或 "” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247518760&idx=2&sn=d82d599134c7b2a410f4ccfe05d73d96&chksm=ea94bb42dde33254d6f854bc5b194c69fc4038bdbac099637195d80d4e0b19bd6ede6758ace6&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh