Категория > Новости > Cisco предупредила о критической RCE-уязвимости в своих продуктах - «Новости»

Cisco предупредила о критической RCE-уязвимости в своих продуктах - «Новости»


27-01-2024, 00:00. Автор: Davidson

Компания Cisco предупреждает, что некоторые из ее продуктов Unified Communications Manager и Contact Center Solutions уязвимы перед критической ошибкой, допускающей удаленное выполнение кода.


Cisco Unified Communications и Contact Center Solutions — это интегрированные решения, обеспечивающие голосовую связь, видеосвязь и обмен сообщениями на уровне предприятия, которые также используются для взаимодействия с клиентами и менеджмента.


Компания предупреждает, что обнаруженная проблема получила идентификатор CVE-2024-20253 и позволяет удаленному неаутентифицированному злоумышленнику выполнить произвольный код на уязвимом устройстве. Проблема была обнаружена специалистом компании Synacktiv и получила оценку 9,9 балла из 10 возможных по шкале CVSS.


Злоумышленники могут использовать этот баг, отправив специально подготовленное сообщение на прослушиваемый порт, что потенциально может привести к выполнению произвольных команд с привилегиями пользователя и получению root-доступа.


Сообщается, что CVE-2024-20253 затрагивает следующие продукты Cisco с конфигурациями по умолчанию:



  • Packaged Contact Center Enterprise (PCCE) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2);

  • Unified Communications Manager (Unified CM) версий 11.5,  а также 12.5(1) и 14 (аналогично для Unified CM SME);

  • Unified Communications Manager IM & Presence Service (Unified CM IM&P) версии 11.5(1), 12.5(1) и 14;

  • Unified Contact Center Enterprise (UCCE) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2);

  • Unified Contact Center Express (UCCX) версий 12.0 и более ранних, а также 12.5(1);

  • Unity Connection версий 11.5(1), 12.5(1) и 14;

  • Virtualized Voice Browser (VVB) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2).


По словам производителя, не существует иных защитных мер, кроме установки патчей. Поэтому рекомендуется установить исправления как можно скорее. Уязвимость был устранена в следующих версиях:



  • PCCE: патч ucos.v1_java_deserial-CSCwd64245.cop.sgn для 12.5(1) и 12.5(2);

  • Unified CM и Unified CME: 12.5(1)SU8 или ciscocm.v1_java_deserial-CSCwd64245.cop.sha512. 14SU3 или ciscocm.v1_java_deserial-CSCwd64245.cop.sha512;

  • Unified CM IM&P: 12.5(1)SU8 или ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512. 14SU3 или ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512;

  • UCCE: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для версий 12.5(1) и 12.5(2);

  • UCCX: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для 12.5(1);

  • VVB: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для версий 12.5(1) и 12.5(2).


Если же установка исправлений по каким-то причинам невозможна, Cisco советует администраторам хотя бы внедрить и настроить списки контроля доступа (ACL) на промежуточных устройствах, которые отделяют Cisco Unified Communications или Cisco Contact Center Solutions от пользователей и остальной сети.


Перейти обратно к новости