Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (04.06.2015):
Eine weitere Schwachstelle CVE-2015-0764 wurde hinzugenommen, für die im
Gegensatz zu den beiden anderen allerdings ein Patch verfügbar ist.
Version 1 (03.06.2015):
Neues Advisory

Betroffene Software:

Cisco Unified MeetingPlace <= 8.6 (1.9) Betroffene Plattformen: Cisco Unified MeetingPlace Zwei Schwachstellen in Cisco Unified MeetingPlace ermöglichen einem entfernten, nicht authentifizierten Angreifer Informationen auszuspähen und Cross-Site-Scripting-Angriffe durchzuführen. Für die Schwachstellen steht derzeit weder ein Update noch ein Workaround zur Verfügung. Patch: Cisco Security Alert Cisco-Alert-CVE-2015-0764 http://tools.cisco.com/security/center/viewAlert.x?alertId=39163

CVE-2015-0764: Schwachstelle in Cisco Unified MeetingPlace erlaubt Ausspähen
von Informationen

Eine Schwachstelle in Cisco Unified MeetingPlace besteht in einer unsauberen
Behandlung von Anfragen nach Ressourcen durch ein betroffenes Gerät. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebige Dateien von dem Zielgerät herunterzuladen, wodurch
weitere Angriffe möglich werden.

CVE-2015-0763: Schwachstelle in Cisco Unified MeetingPlace ermöglicht
Ausspähen von informationen

Eine Schwachstelle in Cisco Unified MeetingPlace ermöglicht einem
entfernten, nicht authentifizierten Angreifer das Ausspähen von
Informationen. Die Schwachstelle basiert darauf, dass Cisco Unified
Meetingplace Session-IDs in der HTTP-URL nicht immer korrekt überprüft.
Dadurch kann ein Angreifer an sensitive Informationen zu einer Session
gelangen, um die Anwendung zu kompromittieren.

CVE-2015-0762: Cross-Site-Scripting-Schwachstelle in Cisco Unified
MeetingPlace

Eine Schwachstelle im HTTP Web-basierten Management-Interface von Cisco
Unified Meetingplace für Microsoft Outlook ermöglicht einem entfernten,
nicht authentifizierten Angreifer Cross-Site-Scripting-Angriffe
durchzuführen. Der Angriff kann sowohl aus einem Client-Browser oder in
Microsoft Outlook ausgeführt werden. Die Schwachstelle basiert auf
unzureichender Filterung und Überprüfung von Benutzereingaben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0788/

Cisco Vulnerability Alert Cisco-Alert-CVE-2015-0763:
http://tools.cisco.com/security/center/viewAlert.x?alertId=39162

Cisco Vulnerability Alert Cisco-Alert-CVE-2015-0762:
http://tools.cisco.com/security/center/viewAlert.x?alertId=39161

Schwachstelle CVE-2015-0762 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0762

Schwachstelle CVE-2015-0763 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0763

Cisco Security Alert Cisco-Alert-CVE-2015-0764:
http://tools.cisco.com/security/center/viewAlert.x?alertId=39163

Schwachstelle CVE-2015-0764 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0764

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.