Cisco avertit que plusieurs de ses solutions de Gestionnaire de communications unifiées (CM) et de Centre de contact sont vulnérables à un problème de sécurité d’exécution de code à distance de gravité critique.
Les solutions de communications unifiées et de centre de contact de Cisco sont des solutions intégrées qui fournissent des services vocaux, vidéo et de messagerie au niveau de l’entreprise, ainsi que l’engagement et la gestion des clients.
La société a publié un bulletin de sécurité pour avertir de la vulnérabilité, actuellement suivie sous la référence CVE-2024-20253, qui pourrait permettre à un attaquant distant non authentifié d’exécuter du code arbitraire sur un appareil affecté.
La vulnérabilité a été découverte par Julien Egloff, chercheur chez Synacktiv, et a reçu un score de base de 9,9 sur un maximum de 10. Elle est causée par un traitement incorrect des données fournies par l’utilisateur lues en mémoire.
Les attaquants pourraient l’exploiter en envoyant un message spécialement conçu à un port d’écoute, gagnant potentiellement la possibilité d’exécuter des commandes arbitraires avec les privilèges de l’utilisateur des services Web et d’établir un accès root.
CVE-2024-20253 affecte les produits Cisco suivants dans leurs configurations par défaut:
- Packaged Contact Center Enterprise(PCCE) versions 12.0 et antérieures, 12.5 (1) et 12.5 (2)
- Gestionnaire de communications unifiées(Unified CM) versions 11.5, 12.5 (1) et 14. (idem pour les PME CM unifiées)
- Versions du service de messagerie instantanée et de présence du Gestionnaire de communications unifiées (Unified CM IM & P) 11.5(1), 12.5(1), et 14.
- Unified Contact Center Enterprise (UCCE) versions 12.0 et antérieures, 12.5(1) et 12.5(2).
- Unified Contact Center Express(UCCX) versions 12.0 et antérieures et 12.5 (1).
- Versions de connexion Unity 11.5(1), 12.5(1), et 14.
- Navigateur vocal virtualisé (VVB) versions 12.0 et antérieures, 12.5 (1) et 12.5 (2).
Le fournisseur indique qu’il n’y a pas de solution de contournement et que l’action recommandée consiste à appliquer les mises à jour de sécurité disponibles. Les versions suivantes corrigent le défaut critique d’exécution de code à distance (RCE) :
- PCCE: 12,5 (1) et 12,5 (2) appliquent le patch ucoz.v1_java_desérie-CSCwd64245.flic.sgn.
- CM unifié et CME unifié: 12.5 (1) SU8 ou ciscocm.v1_java_desérie-CSCwd64245.flic.sha512. 14SU3 ou ciscocm.numéro de série v1_java_de-CSCwd64245.flic.sha512.
- CM unifié IM & P: 12,5 (1) SU8 ou ciscocm.coupe-CSCWD64276_DÉSÉRIALISATION Java.flic.sha512. 14SU3 ou ciscocm.coupe-CSCWD64276_DÉSÉRIALISATION Java.flic.sha512.
- UCCE: Appliquez le patch ucoz.v1_java_desérie-CSCwd64245.flic.sgn pour 12,5(1) et 12,5 (2).
- UCCX: Appliquez le patch ucoz.v1_java_desérie-CSCwd64245.flic.sgn pour 12,5(1).
- VVB: Appliquez le patch ucoz.numéro de série v1_java_de-CSCwd64245.flic.sgn pour 12,5(1) et 12,5 (2).
Cisco conseille aux administrateurs de configurer des listes de contrôle d’accès (ACL) comme stratégie d’atténuation dans les cas où l’application des mises à jour n’est pas immédiatement possible.
Plus précisément, il est recommandé aux utilisateurs d’implémenter des listes de contrôle d’accès sur des périphériques intermédiaires qui séparent le cluster de solutions Cisco Unified Communications ou Cisco Contact Center des utilisateurs et du reste du réseau.
Les listes de contrôle d’accès doivent être configurées pour autoriser l’accès uniquement aux ports des services déployés, contrôlant efficacement le trafic pouvant atteindre les composants affectés.
Avant de déployer des mesures d’atténuation, les administrateurs doivent évaluer leur applicabilité et leur impact potentiel sur l’environnement, et les tester dans un espace contrôlé pour s’assurer que les opérations commerciales ne sont pas affectées.
La société note qu’elle n’est au courant d’aucune annonce publique ou utilisation malveillante de la vulnérabilité.