BDU:2020-00323 (CVE-2019-16005) — уязвимость веб-интерфейса управления программного средства обмена медиаданными Cisco Webex Video Mesh

По данным БДУ ФСТЭК России, по состоянию на 29.01.2020.

Высокий — 7.2/10 Есть инциденты ИБ Устранена

Уязвимость веб-интерфейса управления программного средства обмена медиаданными Cisco Webex Video Mesh связана с недостаточной проверкой аргументов, передаваемых в команду. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольную команду

Кого касается и что делать

Уязвимое ПО: Cisco Webex Video Mesh (Cisco Systems) — версии до 2019.09.19.1956m
Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com

Сведения об уязвимости

Идентификаторы	BDU:2020-00323 · CVE-2019-16005
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.2; CVSS 2.0 — 9.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость веб-интерфейса управления программного средства обмена медиаданными Cisco Webex Video Mesh, позволяющая нарушителю выполнить произвольную команду
Даты	Опубликована: 29.01.2020 · Обновлена ФСТЭК: 29.01.2020 · Выявлена: 08.01.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-77 — непринятие мер по чистке данных на управляющем уровне (Внедрение в команду)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция