Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04117

Опубликовано: 02 окт. 2019
Источник: fstec
CVSS3: 6.5
CVSS2: 7.1
EPSS Низкий

Описание

Уязвимость веб-интерфейса управления систем обработки вызовов Cisco Unified Communications Manager, Cisco Unified Communications Manager Session Management Edition (SME), Cisco Unified Communications Manager IM and Presence (Unified CM IM&P) Service и интегрированной системы обмена сообщениями Cisco Unity Connection связана с отсутствием защиты от межсайтовой подмены запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отправлять произвольные запросы в результате перехода пользователя по специально созданной ссылки

Вендор

Cisco Systems Inc.

Наименование ПО

Cisco Unified Communications Manager
Unified Communications Manager IM and Presence Service
Cisco Unified Communications Manager SME
Unity Connection

Версия ПО

от 10.5(2) до 10.5(2)SU9 (Cisco Unified Communications Manager)
от 11.0 до 11.5(1)SU6 (Cisco Unified Communications Manager)
от 11.5 до 11.5(1)SU6 (Cisco Unified Communications Manager)
от 12.0 до 12.0(1)SU3 (Cisco Unified Communications Manager)
от 12.5 до 12.5(1)SU1 (Cisco Unified Communications Manager)
от 10.5(2) до 10.5(2) ES (Unified Communications Manager IM and Presence Service)
от 11.0 до 11.5(1)SU6 (Unified Communications Manager IM and Presence Service)
от 11.5 до 11.5(1)SU6 (Unified Communications Manager IM and Presence Service)
от 12.0 до 12.5(1)SU1 (Unified Communications Manager IM and Presence Service)
от 12.5 до 12.5(1)SU1 (Unified Communications Manager IM and Presence Service)
от 10.5(2) до 10.5(2)SU9 (Cisco Unified Communications Manager SME)
от 11.0 до 11.5(1)SU6 (Cisco Unified Communications Manager SME)
от 11.5 до 11.5(1)SU6 (Cisco Unified Communications Manager SME)
от 12.0 до 12.0(1)SU3 (Cisco Unified Communications Manager SME)
от 12.5 до 12.5(1)SU1 (Cisco Unified Communications Manager SME)
от 10.5(2) до 10.5(2)SU9 (Unity Connection)
от 11.0 до 11.5(1)SU6 (Unity Connection)
от 11.5 до 11.5(1)SU6 (Unity Connection)
от 12.0 до 12.0(1)SU3 (Unity Connection)
от 12.5 до 12.5(1)SU1 (Unity Connection)

Тип ПО

Сетевое программное средство
ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-cucm-csrf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 40%
0.00184
Низкий

6.5 Medium

CVSS3

7.1 High

CVSS2

Связанные уязвимости

CVSS3: 6.5
nvd
больше 6 лет назад

A vulnerability in the web-based interface of Cisco Unified Communications Manager, Cisco Unified Communications Manager Session Management Edition (SME), Cisco Unified Communications Manager IM and Presence (Unified CM IM&P) Service, and Cisco Unity Connection could allow an unauthenticated, remote attacker to conduct a cross-site request forgery (CSRF) attack on an affected system. The vulnerability is due to insufficient CSRF protections by the affected software. An attacker could exploit this vulnerability by persuading a targeted user to click a malicious link. A successful exploit could allow the attacker to send arbitrary requests that could change the password of a targeted user. An attacker could then take unauthorized actions on behalf of the targeted user.

CVSS3: 6.5
github
больше 3 лет назад

A vulnerability in the web-based interface of Cisco Unified Communications Manager, Cisco Unified Communications Manager Session Management Edition (SME), Cisco Unified Communications Manager IM and Presence (Unified CM IM&P) Service, and Cisco Unity Connection could allow an unauthenticated, remote attacker to conduct a cross-site request forgery (CSRF) attack on an affected system. The vulnerability is due to insufficient CSRF protections by the affected software. An attacker could exploit this vulnerability by persuading a targeted user to click a malicious link. A successful exploit could allow the attacker to send arbitrary requests that could change the password of a targeted user. An attacker could then take unauthorized actions on behalf of the targeted user.

EPSS

Процентиль: 40%
0.00184
Низкий

6.5 Medium

CVSS3

7.1 High

CVSS2