思科修复多款App高危漏洞安全通告

发布时间 2019-06-06

漏洞编号和级别



CVE编号:CVE-2019-1861,危险级别:高危,CVSS分值:7.2

CVE编号:CVE-2019-1845,危险级别:高危,CVSS分值:8.6



受影响的版本



CVE-2019-1861


Cisco Industrial Network Director software releases prior to 1.6.0


CVE-2019-1845


Expressway Series configured for Mobile and Remote Access with IM&P Service (Releases X8.1 to X12.5.2)
TelePresence VCS configured for Mobile and Remote Access with IM&P Service (Releases X8.1 to X12.5.2)

Unified Communications Manager IM&P Service (multiple releases)



漏洞概述



思科修复了如下两个高危漏洞:


CVE-2019-1861


Cisco Industrial Network Director是美国思科(Cisco)企业的一套工业自动化管理系统。该系统通过对工业以太网基础设施的可视化操作来实现自动化管理。


Cisco Industrial Network DirectorApp更新功能中的漏洞可能允许经过身份验证的远程攻击者实行任意代码。该漏洞是由于对上载到受影响的应用程序的文件进行了不正确的验证。 攻击者可以通过使用管理员权限验证受影响的系统并上载任意文件来利用此漏洞。成功利用可能允许攻击者使用提升的权限实行任意代码。


CVE-2019-1845


Cisco Unified Communications Manager IM & Presence Service(CUCM IM&P)和TelePresence Video Communication Server (VCS) and Expressway都是美国思科(Cisco)企业的产品。Cisco Unified Communications Manager IM and Presence Service(CUCM IM&P)是一个使用在呼叫处理组件中的基于CUCM的即时消息(IM)和状态显示平台。TelePresence Video Communication Server(VCS)and Expressway是一款网真视频通信服务器。


Cisco Unified Communications Manager IM & Presence Service(CUCM IM&P)和TelePresence Video Communication Server (VCS) and Expressway系列的身份验证服务中的漏洞可能允许未经身份验证的远程攻击者导致尝试用户的服务中断进行身份验证,导致拒绝服务(DoS)条件。该漏洞是由于对特定内存操作的控制不足造成的。攻击者可以通过向受影响的系统发送格式错误的可扩展消息和状态协议(XMPP)身份验证请求来利用此漏洞。成功利用可能允许攻击者意外重启身份验证服务,从而阻止用户成功进行身份验证。利用此漏洞不会影响在攻击之前进行身份验证的用户。



漏洞验证



暂无POC/EXP。



修复建议



目前厂商已发布升级补丁以修复漏洞,补丁获取链接见参考链接。



参考链接



https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190605-ind-rce
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190605-cucm-imp-dos