Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Unity Connection 8.6
Cisco Unity Connection 9.0
Cisco Unity Connection 9.1
Cisco Unity Connection 10.0
Cisco Unity Connection 10.5
Cisco Unity Connection 11.0
Cisco Unity Connection 11.5
Cisco Unity Connection 12.0
Cisco Finesse 11.0
Cisco Finesse 11.5
Cisco Finesse 11.6
Cisco Unified Communications Manager 8.6
Cisco Unified Communications Manager Session Management Edition (SME) 8.6
Cisco Unified Communications Manager 9.0
Cisco Unified Communications Manager Session Management Edition (SME) 9.0
Cisco Unified Communications Manager 9.1
Cisco Unified Communications Manager Session Management Edition (SME) 9.1
Cisco Unified Communications Manager 10.0
Cisco Unified Communications Manager Session Management Edition (SME) 10.0
Cisco Unified Communications Manager 10.5
Cisco Unified Communications Manager Session Management Edition (SME) 10.5
Cisco Unified Communications Manager 11.0
Cisco Unified Communications Manager Session Management Edition (SME) 11.0
Cisco Unified Communications Manager 11.5
Cisco Unified Communications Manager Session Management Edition (SME) 11.5
Cisco Unified Communications Manager 12.0
Cisco Unified Communications Manager Session Management Edition (SME) 12.0
Cisco Unified Communications Manager IM and Presence Service 8.6
Cisco Unified Communications Manager IM and Presence Service 9.0
Cisco Unified Communications Manager IM and Presence Service 9.1
Cisco Unified Communications Manager IM and Presence Service 10.0
Cisco Unified Communications Manager IM and Presence Service 10.5
Cisco Unified Communications Manager IM and Presence Service 11.0
Cisco Unified Communications Manager IM and Presence Service 11.5
Cisco Unified Communications Manager IM and Presence Service 12.0
Cisco Unified Contact Center Express 10.0(1)
Cisco Unified Contact Center Express 10.5(1)
Cisco Unified Contact Center Express 10.6(1)
Cisco Unified Contact Center Express 11.0(1)
Cisco Unified Contact Center Express 11.5(1)
Cisco Unified Contact Center Express 11.6(1)
Cisco Unified Intelligence Center 11.0
Cisco Unified Intelligence Center 11.5
Cisco Unified Intelligence Center 11.6
Betroffene Plattformen:
Cisco Voice Operating System (VOS)
Ein entfernter, nicht authentisierter Angreifer mit Zugriff auf ein
betroffenes System über SFTP kann eine Schwachstelle in auf Cisco Voice
Operating System basierenden Produkten ausnutzen, um ‘root’-Rechte zu
erlangen und dadurch das System dauerhaft kompromittieren. Zur erfolgreichen
Ausnutzung der Schwachstelle ist die Kenntnis eines öffentlich verfügbaren
Passworts nötig.
Cisco informiert darüber, dass verschiedene Produkte verwundbar sind, die in
der Vergangenheit ein Upgrade über Prime Collaboration Deployment (PCD) oder
ein Refresh Upgrade erhalten haben, da die Upgrade-Routinen selbst
fehlerhaft sind. Unter anderem sind die Produkte Cisco Unity Connection,
Cisco Unified Communications Manager (auch in der Session Management
Edition) und der Cisco Unified Communications Manager IM and Presence
Service in den Versionen 8.6, 9.0, 9.1, 10.0, 10.5, 11.0, 11.5 und 12.0
betroffen. Weiterhin sind Cisco Finesse und das Cisco Unified Intelligence
Center in den Versionen 11.0, 11.5 und 11.6 sowie das Cisco Unified Contact
Center Express in den Versionen 10.0(1), 10.5(1), 10.6(1), 11.0(1), 11.5(1)
und 11.6(1) betroffen.
Zur Behebung der Schwachstellen stellt Cisco für die einzelnen Produkte
sogenannte COP-Dateien zur Verfügung. Alternativ beheben ab sofort Service
Updates oder eines der angegebenen Upgrades des unterliegenden Cisco Voice
Operating System auf RHEL 5 Update 5 (Version 8.6), RHEL 5 Update 7
(Versionszweig 9.x), RHEL 6 Update 2 (10.x), RHEL 6 Update 5 (11.x) oder
CentOS 6 Update 6 (12.x) diese Schwachstelle.
Patch:
Cisco Security Advisory cisco-sa-20171115-vos (CVE-2017-12337)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171115-vos
CVE-2017-12337: Schwachstelle in auf Cisco Voice Operating System
basierenden Produkten ermöglicht Erlangen von Administratorrechten
Nach dem erfolgreichen Abschluss eines Refresh Upgrades (Upgrade auf eine
höhere Version) oder einer Prime Collaboration Deployment (PCD) Migration
eines der auf dem Cisco Voice Operating System basierenden Produkte bleibt
ein bestimmter, für Softwareingenieure oder -techniker bestimmter Marker
(Flag) fälschlicherweise aktiv.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2059/
Cisco Security Advisory cisco-sa-20171115-vos (CVE-2017-12337):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171115-vos
Schwachstelle CVE-2017-12337 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12337
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
