BDU:2020-05521 (CVE-2020-3482) — уязвимость механизмама защиты учетных данных сервера Traversal Using Relay NAT (TURN) программного обеспечения шлюза Cisco

По данным БДУ ФСТЭК России, по состоянию на 03.12.2020.

Уязвимость механизмама защиты учетных данных сервера Traversal Using Relay NAT (TURN) программного обеспечения шлюза Cisco Expressway связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкионированный доступ к защищаемой информации

Кого касается и что делать

• Уязвимое ПО: Cisco Expressway (Cisco Systems) — версии до X12.6.3; TelePresence Video Communication Server (Cisco Systems) — версии до X12.6.3
• Что делать: уязвимость устранена производителем — применить исправления: tools.cisco.com

Сведения об уязвимости

Идентификаторы	BDU:2020-05521 · CVE-2020-3482
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 4.7)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность и целостность
Наименование ФСТЭК	Уязвимость механизмама защиты учетных данных сервера Traversal Using Relay NAT (TURN) программного обеспечения шлюза Cisco Expressway, позволяющая нарушителю получить несанкионированный доступ к защищаемой информации
Даты	Опубликована: 03.12.2020 · Обновлена ФСТЭК: 03.12.2020 · Выявлена: 16.11.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-284 — неправильный контроль доступа
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

• Cisco Expressway (Cisco Systems) — до X12.6.3 · ПО сетевого программно-аппаратного средства
• TelePresence Video Communication Server (Cisco Systems) — до X12.6.3 · ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• tools.cisco.com/security/center/content/CiscoSecurityAdvi…

Источники

• tools.cisco.com/security/center/content/CiscoSecurityAdvi…