BDU:2015-10367 (CVE-2015-0713) — уязвимость микропрограммного обеспечения устройства управления конференц-связью Cisco TelePresence Server

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Уязвимость веб-фреймворка микропрограммного обеспечения устройства управления конференц-связью Cisco TelePresence Server связана с недостатками разграничения доступа к файлам. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с привилегиями корневого пользователя

Кого касается и что делать

• Уязвимое ПО: TelePresence Server (Cisco Systems) — версии до 3.1(1.98), до 4.1(1.79)
• Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com

Сведения об уязвимости

Идентификаторы	BDU:2015-10367 · CVE-2015-0713
Уровень опасности	Критический (базовая оценка CVSS 2.0 — 9.0)
Вектор CVSS 2.0	AV:N/AC:L/Au:S/C:C/I:C/A:C атака по сети, низкая сложность, нужна однократная аутентификация, полное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость микропрограммного обеспечения устройства управления конференц-связью Cisco TelePresence Server, позволяющая нарушителю выполнить произвольный код с привилегиями корневого пользователя
Даты	Опубликована: 29.06.2015 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 24.05.2015
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем)
Тип ошибки	CWE-264 — разрешения, привилегии и средства управления доступом
Класс уязвимости	Уязвимость кода

Уязвимое ПО

• TelePresence Server (Cisco Systems) — версии до 3.1(1.98), до 4.1(1.79) · ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций производителя
• tools.cisco.com/security/center/content/CiscoSecurityAdvi…

Источники

• tools.cisco.com/security/center/content/CiscoSecurityAdvi…