Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Unity Connection Server <= 10.0 Betroffene Plattformen: Cisco Unity Connection Server Mehrere Schwachstellen in Cisco Unity Connection ermöglichen einem entfernten, nicht authentisierten Angreifer das Bewirken eines Denial-of-Service-Zustandes. Cisco stellt Sicherheitsupdates zur Behebung der Schwachstellen bereit. Patch: Cisco Security Advisory cisco-sa-20150401-cuc http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150401-cuc/
CVE-2015-0616: Schwachstelle im Cisco Connection Conversation Manager
Prozess bewirkt Denial-of-Service
Im Connection Conversation Manager Prozess von Cisco Unity Connection
besteht eine Schwachstelle aufgrund der fehlerhaften Verarbeitung von
irregulär beendeten SIP-Konversationen. Ein entfernter, nicht
authentisierter Angreifer kann durch das abnormale Beenden einer
SIP-Verbindung den Cisco Unity Connection Server zum Absturz (core dump)
bringen und einen Denial-of-Service-Zustand auslösen.
CVE-2015-0615: Denial-of-Service-Schwachstelle in Cisco Unity Connection
durch fehlende Ressourcenfreigabe
Eine Schwachstelle in der Implementierung der SIP Call-Verarbeitung von
Cisco Unity Connection besteht aufgrund der fehlenden Freigabe allozierter
Ressourcen in bestimmten Verbindungsszenarien. Ein entfernter, nicht
authentisierter Angreifer kann durch ein irreguläres Beenden einer
SIP-Session die verfügbaren Ressourcen verbrauchen und einen
Denial-of-Service-Zustand bewirken.
CVE-2015-0614: Denial-of-Service über SIP INVITE Nachrichten in Cisco Unity
Connection
Im Connection Conversation Manager Prozess von Cisco Unity Connection
besteht eine Schwachstelle aufgrund der fehlerhaften Verarbeitung von
manipulierten SIP INVITE Nachrichten. Ein entfernter, nicht authentisierter
Angreifer kann durch das Senden von speziell manipulierten SIP INVITE
Nachrichten einen Absturz (core dump) des Connection Conversation Manager
Prozesses auslösen und so einen Denial-of-Service-Zustand bewirken.
Diese Schwachstelle unterscheidet sich von der Schwachstelle CVE-2015-0613,
da hier ein anderer Teil der SIP INVITE Nachricht inkorrekt verarbeitet
wird.
CVE-2015-0613: Denial-of-Service über SIP INVITE Nachrichten in Cisco Unity
Connection
Im Connection Conversation Manager Prozess von Cisco Unity Connection
besteht eine Schwachstelle aufgrund der fehlerhaften Verarbeitung von
manipulierten SIP INVITE Nachrichten. Ein entfernter, nicht authentisierter
Angreifer kann durch das Senden von speziell manipulierten SIP INVITE
Nachrichten einen Absturz (core dump) des Connection Conversation Manager
Prozesses auslösen und so einen Denial-of-Service-Zustand bewirken.
CVE-2015-0612: Denial-of-Service-Schwachstelle im Cisco Unity Connection SIP
Trunk Integration Port UDP 5060
Eine Schwachstelle im Connection Conversation Manager Prozess von Cisco
Unity Connection kann von einem entfernten, nicht authentisierten Angreifer
genutzt werden, um über SIP Network Port UDP 5060 ein verwundbares Gerät zu
schließen. Die Schwachstelle besteht aufgrund einer fehlerhaften
Verarbeitung spezieller UDP Pakete.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0455/
Cisco Security Advisory cisco-sa-20150401-cuc:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150401-cuc/
Schwachstelle CVE-2015-0612 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0612
Schwachstelle CVE-2015-0613 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0613
Schwachstelle CVE-2015-0614 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0614
Schwachstelle CVE-2015-0615 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0615
Schwachstelle CVE-2015-0616 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0616
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
