Cisco, Birleşik Mesajlaşma'daki bir hatayı düzeltti – Güvenlik

Cisco, 2024'e birleşik mesajlaşma ve sesli posta ürünü Cisco Unity Connection'daki kritik bir güvenlik açığıyla girdi.

Cisco CVE-2024-20272 için Öneriler Hatanın Unity Connection'ın web yönetimi arayüzünde olduğunu gösterir.

Hata Maxim Suslov tarafından keşfedildi. Cisco, vahşi ortamda herhangi bir istismarın farkında olmadığını söyledi.

Tavsiye belgesinde “Bu güvenlik açığı, belirli API'de kimlik doğrulama eksikliğinden ve kullanıcı tarafından sağlanan verilerin uygunsuz şekilde doğrulanmasından kaynaklanmaktadır” ifadesi yer alıyor.

Saldırganın sisteme rastgele dosyalar yüklemesine ve işletim sistemi komutlarını yürütmesine olanak tanır.

“Başarılı bir istismar, saldırganın sistemde kötü amaçlı dosyalar depolamasına, işletim sisteminde rastgele komutlar yürütmesine ve root ayrıcalıklarını yükseltmesine olanak tanıyabilir” diye ekliyor.

Bu hatanın herhangi bir çözümü yoktur.

Güvenlik açığı Unity Connection sürüm 12.5 ve önceki sürümlerini etkiliyor; Ve sürüm 14. Ürün yazılımı her iki şube için de mevcuttur ve sürüm 15, saldırıya açık değildir.

Kullanıcılar, düzeltmelerin Cisco Yazılım İndirme Merkezi aracılığıyla kullanılamayacağını unutmamalıdır; Aksine, bu bir “özel mühendislik” sürümüdür ve müşterilerin düzeltmeyi edinmek için Cisco'nun Teknik Yardım Merkezi (TAC) ile iletişime geçmesi gerekir.