CVE-2017-12337
Açıklama
Cisco Voice Operating System yazılım platformuna dayalı Cisco collaboration ürünlerinin yükseltme mekanizmasındaki bir güvenlik açığı, kimliği doğrulanmamış uzak bir saldırganın etkilenen cihaza yetkisiz ve yüksek ayrıcalıklı erişim sağlamasına izin verebilir. Güvenlik açığı, etkilenen bir cihazda refresh upgrade (RU) veya Prime Collaboration Deployment (PCD) taşıma işlemi gerçekleştirildiğinde ortaya çıkar. Bir refresh upgrade veya PCD taşıma işlemi başarıyla tamamlandığında, bir mühendislik bayrağı etkin kalır ve bilinen bir şifre ile cihaza root erişimi sağlanmasına izin verebilir. Etkilenen cihaz daha sonra standart yükseltme yöntemi kullanılarak bir Engineering Special Release'e, servis güncellemesine veya etkilenen ürünün yeni bir ana sürümüne yükseltilirse, bu işlemle güvenlik açığı giderilir. Not: Standart yükseltme yönteminin aksine COP dosyaları olarak yüklenen Engineering Special Release sürümleri bu güvenlik açığını gidermez. Cihaz savunmasız durumdayken ona SFTP üzerinden erişebilen bir saldırgan, cihaza root erişimi sağlayabilir. Bu erişim, saldırganın etkilenen sistemi tamamen ele geçirmesine olanak tanıyabilir. Cisco Bug ID'leri: CSCvg22923, CSCvg55112, CSCvg55128, CSCvg55145, CSCvg58619, CSCvg64453, CSCvg64456, CSCvg64464, CSCvg64475, CSCvg68797.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cisco prime_license_manager | Aralık belirtilmemiş | — |
| cisco emergency_responder | Aralık belirtilmemiş | — |
| cisco finesse | Aralık belirtilmemiş | — |
| cisco hosted_collaboration_solution | Aralık belirtilmemiş | — |
| cisco mediasense | Aralık belirtilmemiş | — |
| cisco socialminer | Aralık belirtilmemiş | — |
| cisco unified_communications_manager | Aralık belirtilmemiş | — |
| cisco unified_communications_manager_im_and_presence_service | Aralık belirtilmemiş | — |
| cisco unified_contact_center_express | Aralık belirtilmemiş | — |
| cisco unified_intelligence_center | Aralık belirtilmemiş | — |
| cisco unity_connection | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.