CISCO Telepresence fájl-bejárásos sérülékenység
Angol cím: CISCO Telepresence directory traversal vulnerability
CH azonosító: CH-14768
Publikálás dátuma: 2020.01.28.
Utolsó módosítás dátuma: 2020.01.28.
Leírás
A CVE-2020-3143 számon a CISCO videókonferencia szolgáltatását érintő (Cisco TelePresence Collaboration Endpoint, Cisco TelePresence Codec, Cisco RoomOS), magas kockázati besorolású sérülékenység vált ismertté, amely segítségével a hitelesítéssel rendelkező, távoli támadó un. fájl-bejárásos támadást hajthat végre. Az ilyen típusú támadások lehetővé teszik a korlátozott elérésű könyvtártartalmak megismerésének, illetve módosításának lehetőségét is.
Leírás forrása: Gyártói referencia: tools.cisco.com Leírás utolsó módosítása: 2020.01.28.Elemzés leírás
A CISCO Telepresence szolgáltatás kiváló hang- és képminőségű videokonferenciák lebonyolítására szolgál IP hálózaton keresztül. A sérülékenység az érintett szoftver API-val összefüggő, felhasználó általi adatbevitel nem megfelelő hitelesítéséből fakad. Kihasználásához a támadónak egy speciálisan kialakított kérést kell küldenie az xAPI felé. Sikeres végrehajtás esetén a támadó r/w jogosultságot szerezhet az érintett rendszerben levő valamennyi fájl tekintetében.
Érintett verziók:
- Cisco TelePresence Integrator C Series
- Cisco TelePresence MX Series
- Cisco TelePresence SX Series
- Cisco TelePresence System EX Series
- Cisco Webex Board
- Cisco Webex DX Series
- Cisco Webex Room Series
A CISCO honlapján közzétette a hiba javítását tartalmazó szoftverfrissítést.
Hatás
CVSS3 Súlyosság és Metrika
Base score: 8.8 (Magas)
Vector: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Impact Score:
Exploitability Score:
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): Low
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C):
Integrity Impact (I):
Availability Impact (A):
Hivatkozások
Gyártói referencia: tools.cisco.com
Egyéb referencia: vulmon.com
Egyéb referencia: www.cybersecurity-help.cz
