Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Cisco Prime Collaboration Provisioning Software 12.1
Betroffene Plattformen:
Cisco Unified Communications
VMware ESXi
Eine Schwachstelle in Cisco Prime Collaboration Provisioning ermöglicht
einem entfernten, nicht authentisierten Angreifer eine Benutzersitzung zu
entführen (Hijacking) und dessen Benutzerrechten zu erlangen. Zudem
ermöglichen weitere Schwachstellen einem entfernten, einfach authentisierten
und einem lokalen, auch nicht authentisierten Angreifer über verschiedene
Angriffsvektoren sensitive Informationen auszuspähen.
Cisco bestätigt die Schwachstellen für Cisco Prime Collaboration
Provisioning Version 12.1 und stellt die Version 12.2 als Sicherheitsupdate
bereit.
Patch:
Cisco Security Advisory cisco-sa-20170621-pcp1 (CVE-2017-6703)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp1
Patch:
Cisco Security Advisory cisco-sa-20170621-pcp2 (CVE-2017-6704)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp2
Patch:
Cisco Security Advisory cisco-sa-20170621-pcp3 (CVE-2017-6705)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp3
Patch:
Cisco Security Advisory cisco-sa-20170621-pcp4 (CVE-2017-6706)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp4
CVE-2017-6706: Schwachstelle in Cisco Prime Collaboration Provisioning
ermöglicht Ausspähen von Informationen
Im Protokollierungssubsystem von Cisco Prime Collaboration Provisioning
existiert eine Schwachstelle, weil sensitive Details bestimmter
Benutzerinteraktionen protokolliert werden. Ein lokaler, nicht
authentisierter Angreifer kann dies ausnutzen und über das Ausspähen der
Logdateien sensitive Informationen erlangen.
CVE-2017-6705: Schwachstelle in Cisco Prime Collaboration Provisioning
ermöglicht Ausspähen von Informationen
Im Dateisystem von Cisco Prime Collaboration Provisioning existiert eine
Schwachstelle aufgrund unsicherer Dateiberechtigungen, die ein lokaler,
einfach authentisierter Angreifer ausnutzen kann, um sensitive Informationen
auszuspähen.
CVE-2017-6704: Schwachstelle in Cisco Prime Collaboration Provisioning
ermöglicht Ausspähen von Informationen
In der Webanwendung von Cisco Prime Collaboration Provisioning existiert
eine Schwachstelle aufgrund der unzureichenden Validierung von
Benutzereingaben, wodurch ein entfernter, einfach authentisierter Angreifer
beliebige Dateien herunterladen kann, wodurch er auch Dateien des
darunterliegenden Betriebssystems lesen kann.
CVE-2017-6703: Schwachstelle in Cisco Prime Collaboration Provisioning
ermöglicht Erlangen von Benutzerrechten
In der Webanwendung von Cisco Prime Collaboration Provisioning existiert
eine Schwachstelle aufgrund der unzureichenden Sitzungsverwaltung während
der Benutzerauthentifizierung, wodurch ein entfernter, nicht authentisierter
Angreifer die Sitzung eines Benutzers entführen (Hijacking) und dessen
Rechte übernehmen kann.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1074/
Cisco Security Advisory cisco-sa-20170621-pcp1 (CVE-2017-6703):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp1
Cisco Security Advisory cisco-sa-20170621-pcp2 (CVE-2017-6704):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp2
Cisco Security Advisory cisco-sa-20170621-pcp3 (CVE-2017-6705):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp3
Cisco Security Advisory cisco-sa-20170621-pcp4 (CVE-2017-6706):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170621-pcp4
Schwachstelle CVE-2017-6703 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6703
Schwachstelle CVE-2017-6704 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6704
Schwachstelle CVE-2017-6705 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6705
Schwachstelle CVE-2017-6706 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6706
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
