De quoi il s’agit

Cisco Emergency Responder (Cisco ER) ist ein Notfall-Kommunikationssystem, das die vorhandene Notruf-Funktionalität des Cisco Unified Communications Manager erweitert. Cisco Prime Collaboration ist eine Provisionierungs- Überwachungs und Managementlösung für Cisco Unified Communication Geräte. Der Cisco Unified Communications Manager (CUCM, ehemals CallManager) dient zur Gesprächsvermittlung in IP-Telefonie-Netzen. Der Cisco Unified Communications Manager (CUCM) (ehemals CallManager) dient zur Gesprächsvermittlung in IP-Telefonie-Netzen. Cisco Unity Connection ist ein umfangreiches Voicemail und Integrated-Messaging- Produkt. Mit Cisco Unity Connection können Benutzer mit dem Cisco Unified Personal Communicator auf ihre Sprachnachrichten zugreifen, das Display ihres Cisco Unified IP-Telefons nutzen, um Sprachnachrichten anzuzeigen, zu sortieren und wiederzugeben, und sogar die Sprachsteuerung von Cisco Unity Connection verwenden, um auf Cisco Unified MeetingPlace Express Meetings zuzugreifen. Ein Angreifer kann mehrere Schwachstellen in Cisco Emergency Responder, Cisco Prime Collaboration, Cisco Unified Communications Manager (CUCM), Cisco Unified Communications Manager IM & Presence Service und Cisco Unity Connection ausnutzen, um Sicherheitsvorkehrungen zu umgehen, um einen Cross-Site Scripting Angriff durchzuführen, um einen SQL-Injection Angriff durchzuführen und um Informationen offenzulegen.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• Sicherheitsvorkehrungen zu umgehen
• einen Cross-Site Scripting Angriff durchzuführen
• einen SQL-Injection Angriff durchzuführen
• Informationen offenzulegen

Suis-je concerné ?

Concernés selon le BSI :

• Cisco Emergency Responder <15SU5
• Cisco Prime Collaboration <15SU5
• Cisco Unified Communications Manager (CUCM) <15SU5
• Cisco Unified Communications Manager IM & Presence Service <15SU5
• Cisco Unity Connection <15SU5

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Cisco Emergency Responder 15SU5
• Cisco Prime Collaboration 15SU5
• Cisco Unified Communications Manager (CUCM) 15SU5
• Cisco Unified Communications Manager IM & Presence Service 15SU5
• Cisco Unity Connection 15SU5

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.