UPDATE: DFN-CERT-2014-0175 Cisco Unified Communications Manager: Mehrere Schwachstellen ermöglichen Denial-of-Service (DoS), Cross-Site-Scripting (XSS) und SQL-Injektion [Netzwerk]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (14.02.2014):
Die CVE-2014-0725, CVE-2014-0726, CVE-2014-0727 sind von Cisco zusätzlich
veröffentlicht worden, ebenfalls ohne verfügbare Sicherheitsupdates aber
mit existierenden Exploits.
Version 1 (12.02.2014):
Neues Advisory

Betroffene Software:

Cisco Unified Communications Manager

Betroffene Plattformen:

Cisco Unified Communications Manager

Ein Angreifer kann diese Schwachstellen ausnutzen, um
Denial-of-Service-Angriffe oder Cross-Site-Scripting (XSS)-Angriffe gegen
Benutzer der Webschnittstelle durchzuführen, die Integrität der Datenbank
und dadurch des Systems zu beeinflussen sowie Dateien des Betriebssystems zu
lesen.
Für alle Schwachstellen existieren Exploits, aktuell jedoch noch keine
Patches.

CVE-2014-0727: SQL-Injection-Schwachstelle in UCM CMIVR

Eine Schwachstelle in Cisco UCM CallManager Interactive Voice Response
(CMIVR) Interface prüft Benutzereingaben in SQL-Anfragen nicht vollständig,
wodurch ein Einschleusen von SQL-Kommandos (SQL-Injection) möglich ist.

CVE-2014-0726: SQL-Injection-Schwachstelle in Cisco UCM IP Manager

Eine Schwachstelle im Cisco UCM IP Manager ermöglicht das Einschleusen von
SQL-Kommandos, weil Benutzereingaben nicht korrekt geprüft werden.

CVE-2014-0725: Schwachstelle in Cisco Unified Communications Manager Web
Archive Dateien

Eine Schwachstelle in Cisco Unified Communications Manager führt dazu, dass
Web Archive (WAR)-Dateien ohne Authentifizierung auf der
Dateispeichereinheit lesbar sind. Ein entfernter, nicht authentifizierter
Angreifer kann sich durch nicht näher beschriebene Aktionen mit dem
Dateispeicher verbinden und den Inhalt der WAR-Dateien lesen.

CVE-2014-0729: SQL-Injection-Schwachstelle im Cisco Unified Communications
Manager

Eine Schwachstelle im Enterprise Mobility Application (EMApp) Interface des
Cisco Unified Communications Managers (Cisco Unified CM) besteht in der
Validierung von Benutzereingaben in SQL-Datenbankabfragen. Ein entfernter,
nicht angemeldeter Angreifer kann diese Schwachstelle ausnutzen, indem er
speziell gestaltete URLs übermittelt, die SQL-Statements enthalten. Das
erlaubt dem Angreifer das Vorhandensein bestimmter Werte in der Datenbank
festzustellen.

CVE-2014-0728: SQL-Injection-Schwachstelle im Cisco Unified Communications
Manager

Eine Schwachstelle im Java Datenbank-Interface des Cisco Unified
Communications Managers (Cisco Unified CM) besteht in der Validierung von
Benutzereingaben in SQL-Datenbankabfragen. Ein entfernter, nicht
angemeldeter Angreifer kann diese Schwachstelle ausnutzen, indem er speziell
gestaltete URLs übermittelt, die SQL-Statements enthalten. Dieses erlaubt
dem Angreifer die Integrität des Systems zu beeinträchtigen.

CVE-2014-0724: Schwachstelle im Cisco Unified Communications Manager
ermöglicht das Ausspähen von Informationen

Eine Schwachstelle im “bulk administration interface” des Cisco Unified
Communications Managers (UCM) besteht in einer unzureichenden Validierung
der Eingaben. Ein entfernter, angemeldeter Angreifer kann diese
Schwachstelle ausnutzen, indem er speziell gestaltete Eingaben an einem
spezifischen Prompt des “bulk administration interface” vornimmt. Dies
ermöglicht dem Angreifer, beliebige Dateien von dem darunter liegenden
Betriebssystem zu lesen.

CVE-2014-0723: XSS-Schwachstelle im Cisco Unified Communications Manager

Eine Schwachstelle im Cisco IP Manager Assistant (IPMA) Interface des Cisco
Unified Communications Managers (UCM) besteht in der unzureichenden
Validierung der Eingaben. Die Schwachstelle erlaubt einem entfernten, nicht
authentisierten Angreifer Cross-Site-Scripting (XSS)-Angriffe gegen Benutzer
der Webschnittstelle durchzuführen und diese zum Beispiel dazu zu bringen,
auf einen schädlichen Link zu klicken.

CVE-2014-0722: DoS-Schwachstelle in Cisco Unified Communications Manager

Eine Schwachstelle in der log4jinit Webanwendung des Cisco Unified
Communications Managers (UCM) besteht in einer unzureichenden Prüfung der
Authentisierung für den Zugriff auf die log4jinit Webanwendung. Ein
Angreifer kann diese Schwachstelle ausnutzen, indem er auf log4jinit
Webanwendung zugreift, dort Aktivität generiert und dadurch
Performance-Probleme für in der Cisco UCM Kommandozeile angemeldete Benutzer
provoziert.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0175/

Schwachstelle CVE-2014-0723 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0723

Schwachstelle CVE-2014-0722 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0722

Schwachstelle CVE-2014-0722 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-0722

Schwachstelle CVE-2014-0723 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-0723

Schwachstelle CVE-2014-0724 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-0724

Schwachstelle CVE-2014-0728 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-0728

Schwachstelle CVE-2014-0729 (CISCO):
http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-0729

Schwachstelle CVE-2014-0724 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0724

Schwachstelle CVE-2014-0728 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0728

Schwachstelle CVE-2014-0729 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0729