Компания Cisco предупреждает, что некоторые из ее продуктов Unified Communications Manager и Contact Center Solutions уязвимы перед критической ошибкой, допускающей удаленное выполнение кода.
Cisco Unified Communications и Contact Center Solutions — это интегрированные решения, обеспечивающие голосовую связь, видеосвязь и обмен сообщениями на уровне предприятия, которые также используются для взаимодействия с клиентами и менеджмента.
Компания предупреждает, что обнаруженная проблема получила идентификатор CVE-2024-20253 и позволяет удаленному неаутентифицированному злоумышленнику выполнить произвольный код на уязвимом устройстве. Проблема была обнаружена специалистом компании Synacktiv и получила оценку 9,9 балла из 10 возможных по шкале CVSS.
Злоумышленники могут использовать этот баг, отправив специально подготовленное сообщение на прослушиваемый порт, что потенциально может привести к выполнению произвольных команд с привилегиями пользователя и получению root-доступа.
Сообщается, что CVE-2024-20253 затрагивает следующие продукты Cisco с конфигурациями по умолчанию:
- Packaged Contact Center Enterprise (PCCE) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2);
- Unified Communications Manager (Unified CM) версий 11.5, а также 12.5(1) и 14 (аналогично для Unified CM SME);
- Unified Communications Manager IM & Presence Service (Unified CM IM&P) версии 11.5(1), 12.5(1) и 14;
- Unified Contact Center Enterprise (UCCE) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2);
- Unified Contact Center Express (UCCX) версий 12.0 и более ранних, а также 12.5(1);
- Unity Connection версий 11.5(1), 12.5(1) и 14;
- Virtualized Voice Browser (VVB) версий 12.0 и более ранних, а также 12.5(1) и 12.5(2).
По словам производителя, не существует иных защитных мер, кроме установки патчей. Поэтому рекомендуется установить исправления как можно скорее. Уязвимость был устранена в следующих версиях:
- PCCE: патч ucos.v1_java_deserial-CSCwd64245.cop.sgn для 12.5(1) и 12.5(2);
- Unified CM и Unified CME: 12.5(1)SU8 или ciscocm.v1_java_deserial-CSCwd64245.cop.sha512. 14SU3 или ciscocm.v1_java_deserial-CSCwd64245.cop.sha512;
- Unified CM IM&P: 12.5(1)SU8 или ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512. 14SU3 или ciscocm.cup-CSCwd64276_JavaDeserialization.cop.sha512;
- UCCE: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для версий 12.5(1) и 12.5(2);
- UCCX: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для 12.5(1);
- VVB: исправление ucos.v1_java_deserial-CSCwd64245.cop.sgn для версий 12.5(1) и 12.5(2).
Если же установка исправлений по каким-то причинам невозможна, Cisco советует администраторам хотя бы внедрить и настроить списки контроля доступа (ACL) на промежуточных устройствах, которые отделяют Cisco Unified Communications или Cisco Contact Center Solutions от пользователей и остальной сети.
