Cisco предупредила о критической RCE-уязвимости в своих продуктах - «Новости»

Компания Cisco предупреждает, что некоторые из ее продуктов Unified Communications Manager и Contact Center Solutions уязвимы перед критической ошибкой, допускающей удаленное выполнение кода.

Cisco Unified Communications и Contact Center Solutions — это интегрированные решения, обеспечивающие голосовую связь, видеосвязь и обмен сообщениями на уровне предприятия, которые также используются для взаимодействия с клиентами и менеджмента.

Компания предупреждает, что обнаруженная проблема получила идентификатор CVE-2024-20253 и позволяет удаленному неаутентифицированному злоумышленнику выполнить произвольный код на уязвимом устройстве. Проблема была обнаружена специалистом компании Synacktiv и получила оценку 9,9 балла из 10 возможных по шкале CVSS.

Злоумышленники могут использовать этот баг, отправив специально подготовленное сообщение на прослушиваемый порт, что потенциально может привести к выполнению произвольных команд с привилегиями пользователя и получению root-доступа.

Сообщается, что CVE-2024-20253 затрагивает следующие продукты Cisco с конфигурациями по умолчанию:

• Packaged Contact Center Enterprise (PCCE) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2);


• Unified Communications Manager (Unified CM) версий 11.5,  а также 12.5(1) и 14 (аналогично для Unified CM SME);


• Unified Communications Manager IM & Presence Service (Unified CM IM&P) версии 11.5(1), 12.5(1) и 14;


• Unified Contact Center Enterprise (UCCE) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2);


• Unified Contact Center Express (UCCX) версий 12.0 и более ранних, а также 12.5(1);


• Unity Connection версий 11.5(1), 12.5(1) и 14;


• Virtualized Voice Browser (VVB) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2).

По словам производителя, не существует иных защитных мер, кроме установки патчей. Поэтому рекомендуется установить исправления как можно скорее. Уязвимость был устранена в следующих версиях:

• PCCE: патч ucos.v1_java_deserial-CSCwd64245.cop.sgn для 12.5(1) и 12.5(2);


• Unified CM и Unified CME: 12.5(1)SU8 или ciscocm.v1_java_deserial-CSCwd64245.cop.sha512. 14SU3 или ciscocm.v1_java_deserial-CSCwd64245.cop.sha512;


• Unified CM IM&P: 12.5(1)SU8 или ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512. 14SU3 или ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512;


• UCCE: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для версий 12.5(1) и 12.5(2);


• UCCX: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для 12.5(1);


• VVB: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для версий 12.5(1) и 12.5(2).

Если же установка исправлений по каким-то причинам невозможна, Cisco советует администраторам хотя бы внедрить и настроить списки контроля доступа (ACL) на промежуточных устройствах, которые отделяют Cisco Unified Communications или Cisco Contact Center Solutions от пользователей и остальной сети.