思科修復多款軟件高危漏洞安全通告
發布時間 2019-06-06漏洞編號和級別
CVE編號：CVE-2019-1845，危險級別：高危，CVSS分值：8.6
受影響的版本
CVE-2019-1861
Cisco Industrial Network Director software releases prior to 1.6.0
CVE-2019-1845
TelePresence VCS configured for Mobile and Remote Access with IM&P Service (Releases X8.1 to X12.5.2)
Unified Communications Manager IM&P Service (multiple releases)
漏洞概述
思科修復了如下兩個高危漏洞：
CVE-2019-1861
Cisco Industrial Network Director是美國思科（Cisco）公司的一套工業自動化管理系統。該系統通過對工業以太網基礎設施的可視化操作來實現自動化管理。
Cisco Industrial Network Director軟件更新功能中的漏洞可能允許經過身份驗證的遠程攻擊者執行任意代碼。該漏洞是由于對上載到受影響的應用程序的文件進行了不正確的驗證。 攻擊者可以通過使用管理員權限驗證受影響的系統并上載任意文件來利用此漏洞。成功利用可能允許攻擊者使用提升的權限執行任意代碼。
CVE-2019-1845
Cisco Unified Communications Manager IM & Presence Service（CUCM IM&P）和TelePresence Video Communication Server (VCS) and Expressway都是美國思科（Cisco）公司的產品。Cisco Unified Communications Manager IM and Presence Service（CUCM IM&P）是一個使用在呼叫處理組件中的基于CUCM的即時消息（IM）和狀態顯示平臺。TelePresence Video Communication Server（VCS）and Expressway是一款網真視頻通信服務器。
Cisco Unified Communications Manager IM & Presence Service（CUCM IM&P）和TelePresence Video Communication Server (VCS) and Expressway系列的身份驗證服務中的漏洞可能允許未經身份驗證的遠程攻擊者導致嘗試用戶的服務中斷進行身份驗證，導致拒絕服務（DoS）條件。該漏洞是由于對特定內存操作的控制不足造成的。攻擊者可以通過向受影響的系統發送格式錯誤的可擴展消息和狀態協議（XMPP）身份驗證請求來利用此漏洞。成功利用可能允許攻擊者意外重啟身份驗證服務，從而阻止用戶成功進行身份驗證。利用此漏洞不會影響在攻擊之前進行身份驗證的用戶。
漏洞驗證
暫無POC/EXP。
修復建議
目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接見參考鏈接。
參考鏈接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190605-cucm-imp-dos
京公網安備11010802024551號