DFN-CERT-2014-0396 Cisco Unity Connection Server: Eine Schwachstelle ermöglicht Cross-site scripting [Netzwerk][Cisco]

- 02. April 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Unity Connection Server <= 8.6(2A)Su3 Betroffene Plattformen: Unity Connection Server Unter Ausnutzung einer Cross-site scripting (XSS) Schwachstelle kann ein entfernter und nicht authentisierten Angreifer unter Umständen einen Benutzer dazu bringen auf einen schädlichen Link zu klicken und darüber beliebige Webskripte zur Ausführung bringen. Patch: Cisco Security Advisory Cisco-CVE-2014-2125 http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-2125

CVE-2014-2125: Cross-site scripting (XSS) Schwachstelle in Web Inbox

Eine Cross-site scripting (XSS) Schwachstelle existiert in der Web Inbox in
Cisco Unity Connection Server aufgrund einer unzureichenden Validierung
eines Parameters. Das erlaubt einem entfernten und nicht authentisierten
Angreifer beliebige Webskripte und HTML einzuschleusen und unter Umständen
mit den Rechten eines Benutzer den Skriptcode ausführen zu lassen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0396/

Cisco Security Advisory Cisco-CVE-2014-2125:
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-2125

Schwachstelle CVE-2014-2125 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2125