Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-04247

Опубликовано: 06 июл. 2022
Источник: fstec
CVSS3: 9
CVSS2: 8.7
EPSS Низкий

Описание

Уязвимость API-интерфейса базы данных устройств управления конференц-связью Cisco Expressway Series и Cisco Telepresence VCS связана с недостаточной проверкой введенных пользователем аргументов команды. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить атаки с обходом абсолютного пути на уязвимом устройстве и перезаписывать файлы в базовой операционной системе с root-привилегиями

Вендор

Cisco Systems Inc.

Наименование ПО

TelePresence Video Communication Server
Cisco Expressway

Версия ПО

до 14.0.7 (TelePresence Video Communication Server)
до 14.0.7 (Cisco Expressway)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,7)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- организация доступа к веб-интерфейсу только из определенного сегмента сети (сегментирование сети);
- использование межсетевого экрана уровня приложений;
- использование системы обнаружения и предотвращения вторжений.
Использование рекомендаций:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-overwrite-3buqW8LH

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 41%
0.00188
Низкий

9 Critical

CVSS3

8.7 High

CVSS2

Связанные уязвимости

CVSS3: 9
nvd
больше 3 лет назад

Multiple vulnerabilities in the API and in the web-based management interface of Cisco Expressway Series and Cisco TelePresence Video Communication Server (VCS) could allow a remote attacker to overwrite arbitrary files or conduct null byte poisoning attacks on an affected device. Note: Cisco Expressway Series refers to the Expressway Control (Expressway-C) device and the Expressway Edge (Expressway-E) device. For more information about these vulnerabilities, see the Details section of this advisory.

CVSS3: 6.5
github
больше 3 лет назад

Multiple vulnerabilities in the API and in the web-based management interface of Cisco Expressway Series and Cisco TelePresence Video Communication Server (VCS) could allow a remote attacker to overwrite arbitrary files or conduct null byte poisoning attacks on an affected device. Note: Cisco Expressway Series refers to the Expressway Control (Expressway-C) device and the Expressway Edge (Expressway-E) device. For more information about these vulnerabilities, see the Details section of this advisory.

EPSS

Процентиль: 41%
0.00188
Низкий

9 Critical

CVSS3

8.7 High

CVSS2