Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cisco Unified Communications Manager

Betroffene Plattformen:

Cisco Unified Communications Manager

Zwei Schwachstellen im Cisco Unified Communications Manager können durch
einen entfernten und in einem Fall nicht authentisierten Angreifer zur
Ausführung von beliebigem Programmcode und zu einem
Cross-Site-Scripting-Angriff ausgenutzt werden.
Es steht noch kein Sicherheitsupdate zur Verfügung.

CVE-2014-3363: Schwachstelle ermöglicht Cross-Site-Scripting

Eine Schwachstelle im Cisco Unified Communications Manager (UCM) überprüft
Parameter fehlerhaft. Ein entfernter, nicht authentisierter Angreifer kann
die Schwachstelle zu einem Reflected-Cross-Site-Scripting-Angriff (XSS)
ausnutzen.

CVE-2014-5119: Schwachstelle in EGLIBC/GLIBC ermöglicht das Ausführen
beliebigen Programmcodes

Es existiert eine Schwachstelle in EGLIBC (Debian’s Version von der GNU C
Bibliothek)/GLIBC, welche einen Heap-basierten Pufferüberlauf beim Laden des
Transliteration Moduls erzeugt. Ein lokaler, nicht authentifizierter
Angreifer kann, mit Hilfe von manipulierten Zeichen in einer “iconv”
bezogenen Character-Conversation-Funktion, beliebigen Programmcode
ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1189/

Schwachstelle CVE-2014-5119 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5119

Cisco Security Notice Cisco-CVE-2014-3363:
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-3363

Cisco Security Notice Cisco-CVE-2014-5119:
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-5119

Schwachstelle CVE-2014-3363 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3363

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.