Il presente articolo è un prodotto originale di csirt.gov.it, riproposto qui a solo scopo di aumentarne la visibilità. 

Sintesi

Aggiornamenti di sicurezza Cisco sanano una vulnerabilità, con gravità “critica”, relativa ai prodotti Cisco Unified Communications e Contact Center Solutions. Tale vulnerabilità, qualora sfruttata, potrebbe consentire a un attaccante remoto non autenticato l’esecuzione di comandi arbitrari sui sistemi target.

Tipologia

• Remote Code Execution

Prodotti e/o versioni affette

Cisco

• Packaged Contact Center Enterprise (PCCE)
• Unified Communications Manager (Unified CM)
• Unified Communications Manager IM & Presence Service (Unified CM IM&P)
• Unified Communications Manager Session Management Edition (Unified CM SME)
• Unified Contact Center Enterprise (UCCE)
• Unified Contact Center Express (UCCX)
• Unity Connection
• Virtualized Voice Browser (VVB)

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di applicare le mitigazioni disponibili seguendo le indicazioni riportate nei bollettini di sicurezza nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2024-20253

Riferimenti

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-rce-bWNzQcUm

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.