Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Meeting Server 2.0
Cisco Meeting Server 2.0.7
Cisco Meeting Server 2.1
Betroffene Plattformen:
Cisco Meeting Server Appliance
Eine Schwachstelle in der Programmschnittstelle (API) des Cisco Meeting
Servers ermöglicht einem entfernten, nicht authentisierten Angreifer die
Durchführung eines Denial-of-Service (DoS)-Angriffs. Eine weitere
Schwachstelle ermöglicht einem entfernten, einfach authentisierten Angreifer
das Ausspähen von Informationen und einen weiteren Denial-of-Service-Angriff
mit Hilfe speziell präparierter HTTP-Pakete. Der Angreifer muss zur
Ausnutzung dieser Schwachstelle eine gültige Web-Bridge-Sitzung haben.
Cisco informiert über die Schwachstellen in unterschiedlichen Versionen von
Cisco Meeting Server und stellt Sicherheitsupdates bereit. Beide
Schwachstellen werden in Version 2.1.2 der Software behoben.
Patch:
Cisco Security Advisory cisco-sa-20170215-cms
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170215-cms
Patch:
Cisco Security Advisory cisco-sa-20170215-cms1
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170215-cms1
CVE-2017-3837: Schwachstelle in Cisco Meeting Server ermöglicht Ausspähen
von Informationen und Denial-of-Service-Angriff
Durch eine Schwachstelle in der Web-Bridge-Schnittstelle des Cisco Meeting
Servers kann ein entfernter, einfach authentifizierter Angreifer durch
Senden speziell präparierter HTTP-Pakete Speicherinhalte auslesen und in der
Folge möglicherweise vertrauliche Informationen ausspähen. Darüber hinaus
kann der Angreifer die Schwachstelle für einen Denial-of-Service-Angriff
nutzen.
CVE-2017-3830: Schwachstelle in Cisco Meeting Server ermöglicht
Denial-of-Service-Angriff
Durch eine Schwachstelle in der internen API des Cisco Meeting Servers
können ungültige Daten, die an einen bestimmten Port gesendet werden, einen
Absturz des Servers verursachen. Ein entfernter, nicht authentisierter
Angreifer kann einen Denial-of-Service (DoS)-Angriff ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0291/
Cisco Security Advisory cisco-sa-20170215-cms:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170215-cms
Cisco Security Advisory cisco-sa-20170215-cms1:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170215-cms1
Schwachstelle CVE-2017-3830 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3830
Schwachstelle CVE-2017-3837 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3837
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
