Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cisco Unity Connection Server <= 9.1(1) Cisco Unity Connection Server 9.1(2) Betroffene Plattformen: Cisco Unity Connection Server Ein entfernter, einfach authentifizierter Angreifer kann aufgrund der Schwachstelle beliebige SQL-Anfragen auf einem betroffenen Gerät ausführen lassen und dadurch Informationen aus der Datenbank ausspähen. Cisco bestätigt die Schwachstelle zunächst für die Versionen 9.1(1) und 9.1(2) und älter, schließt aber nicht aus, dass es weitere verwundbare Versionen gibt. Sicherheitsupdates sind derzeit noch nicht verfügbar. CVE-2015-6299: Schwachstelle in Cisco Unity Connection ermöglicht Ausspähen von Informationen Es existiert eine Schwachstelle in Cisco Unity Connection, die durch eine lückenhafte Validierung von Benutzereingaben in SQL-Anfragen hervorgerufen wird. Diese ermöglicht es, beliebige SQL-Anfragen in eine HTTP-POST-Anfrage einzubetten und an ein betroffenes System zu schicken, wodurch dieses Informationen offenlegt. Referenzen: Dieses Advisory finden Sie auch im DFN-CERT Portal unter: https://portal.cert.dfn.de/adv/DFN-CERT-2015-1453/

Cisco Vulnerability Alert Cisco-Alert-CVE-2015-6299:
http://tools.cisco.com/security/center/viewAlert.x?alertId=41074

Schwachstelle CVE-2015-6299 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6299

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.