Cisco vá lỗ hổng nghiêm trọng trong sản phẩm Contact Center

[DDos]

Gần đây, Cisco phát hành bản vá cho một lỗ hổng an ninh nghiêm trọng trong các sản phẩm Unified Contact Center Management Portal (Unified CCMP) và Unified Contact Center Domain Manager (Unified CCDM), có thể bị khai thác từ xa để leo thang đặc quyền quản trị.

​

Lỗ hổng, CVE-2022-20658 (CVSS 9.6), tồn tại do không xác thực quyền của người dùng trong các truy vấn gửi đến máy chủ. Do đó, tin tặc có thể dễ dàng khai thác lỗ hổng bằng cách chỉ cần gửi một yêu cầu HTTP được tạo đặc biệt đến hệ thống mục tiêu.

Cisco cho biết: “Khai thác thành công lỗ hổng cho phép tin tặc tạo tài khoản quản trị viên. Với tài khoản này, hacker có thể truy cập và sửa đổi điện thoại và tài nguyên người dùng trên tất cả các nền tảng hợp nhất được liên kết với Cisco Unified CCMP”.

Cisco cũng lưu ý rằng hacker cần có thông tin xác thực hợp lệ của người dùng nâng cao để khai thác thành công. Cisco Unified CCMP và Unified CCDM được sử dụng với các cài đặt mặc định bị ảnh hưởng bởi lỗi này. Hiện tại, chưa có bằng chứng cho thấy tin tặc khai thác lỗ hổng này trong thực tế.

Lỗ hổng an ninh đã được giải quyết trong Unified CCMP/Unified CCDM phiên bản 11.6.1 ES17, 12.0.1 ES5 và 12.5.1 ES5. Phiên bản 12.6.1 của phần mềm không bị ảnh hưởng.

Trong bản tin an ninh được phát hành gần đây, Cisco cũng vá 8 lỗ hổng có mức độ nghiêm trọng trung bình trong các sản phẩm Tetration, Secure Network Analytics, Prime Access Registrar Appliance, Prime Infrastructure (PI) và Evolved Programmable Network Manager (EPNM), một số mẫu điện thoại IP, Enterprise Chat và Email (ECE), Security Manager, và Adaptive Security Device Manager (ASDM)

Theo: securityweek​