BDU:2023-00211

Опубликовано: 18 янв. 2023

Источник: fstec

CVSS3: 8.1

CVSS2: 8.5

EPSS Низкий

Описание

Уязвимость веб-интерфейса систем управления IP-телефонией Cisco Unified Communications Manager и Cisco Unified Communications Manager Session Management Edition (SME) связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные SQL-запросы

Вендор

Cisco Systems Inc.

Наименование ПО

Cisco Unified Communications Manager

Cisco Unified Communications Manager SME

Версия ПО

до 12.5(1)SU7 (Cisco Unified Communications Manager)

от 14 до 14SU3 (Cisco Unified Communications Manager)

до 12.5(1)SU7 (Cisco Unified Communications Manager SME)

от 14 до 14SU3 (Cisco Unified Communications Manager SME)

Тип ПО

Сетевое программное средство

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений;

- сторонними средствами защиты ограничить доступ недоверенных пользователей к веб-интерфейсу устройства;

- использование сторонних средств контроля доступа пользователей (VPN и др.) к веб-интерфейсу из общедоступных сетей (Интернет);

- использование технологий белых/черных списков для ограничения доступа недоверенных подключений к устройству из общедоступных сетей (Интернет);

- использование систем обнаружения и предотвращения вторжений.

Использование рекомендаций производителя:

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-sql-rpPczR8n

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-sql-rpPczR8n

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-20010
CVE

EPSS

Процентиль: 70%

0.00652

Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVE-2023-20010

CVSS3: 8.1

nvd

около 3 лет назад

A vulnerability in the web-based management interface of Cisco Unified Communications Manager (Unified CM) and Cisco Unified Communications Manager Session Management Edition (Unified CM SME) could allow an authenticated, remote attacker to conduct SQL injection attacks on an affected system. This vulnerability exists because the web-based management interface inadequately validates user input. An attacker could exploit this vulnerability by authenticating to the application as a low-privileged user and sending crafted SQL queries to an affected system. A successful exploit could allow the attacker to read or modify any data on the underlying database or elevate their privileges.

GHSA-8mrr-p2f9-9f86

CVSS3: 8.8

github

около 3 лет назад

EPSS

Процентиль: 70%

0.00652

Низкий

8.1 High

CVSS3

8.5 High

CVSS2