سیسکو یک نقص امنیتی حیاتی را Unity Connection برطرف کرد
سیسکو یک نقص امنیتی حیاتی Unity Connection را برطرف کرد که می‌تواند توسط یک مهاجم تایید نشده برای دریافت دسترسی‌های مدیریتی مورد سوء استفاده قرار گیرد.
Cisco Unity Connection یک پلت فرم پیام رسانی و سیستم پست صوتی است که بخشی از مجموعه محصولات Cisco Unified Communications است.
سیسکو یک نقص مهم را که با نام CVE-2024-20272 ردیابی میشود، در Unity Connection برطرف کرده است که می‌تواند توسط یک مهاجم از راه دور و احراز هویت نشده برای به دست آوردن دسترسی مدیریتی در دستگاه‌های آسیب‌پذیر مورد سوء استفاده قرار گیرد.
این آسیب‌پذیری در رابط مدیریت مبتنی بر وب Cisco Unity Connection قرار دارد. یک مهاجم از راه دور و احراز هویت نشده می‌تواند از این مشکل برای آپلود فایل‌های دلخواه در سیستم آسیب‌دیده و اجرای دستورات روی سیستم عامل اصلی سوء استفاده کند.
این آسیب‌پذیری به دلیل عدم احراز هویت در یک API خاص و اعتبارسنجی نادرست داده‌های ارائه‌شده توسط کاربر رخ داده است. یک مهاجم می تواند با آپلود فایل های دلخواه در یک سیستم آسیب دیده از این آسیب پذیری سوء استفاده کند. یک اکسپلویت موفق می‌تواند به مهاجم اجازه دهد تا فایل های مخرب را در سیستم ذخیره کند، دستورات دلخواه را در سیستم عامل اجرا کند و دسترسی را به root افزایش دهد.
توصیه‌های سیسکو بیان می‌کند که هیچ راه‌حلی برای رفع این آسیب‌پذیری وجود ندارد و از مشتریان می‌خواهد برای رفع این اشکال، وصله‌های امنیتی را نصب کنند.
تاکنون تیم پاسخگویی به حوادث امنیت محصول سیسکو از حملاتی که از این آسیب پذیری سوء استفاده کرده اند، اطلاعی ندارد.