سیسکو پچ‌هایی را برای رفع نقص امنیتی حیاتی که بر محصولات راه‌حل‌های ارتباطات یکپارچه و مرکز تماس تاثیر می‌گذارد که می‌تواند به یک مهاجم غیرقانونی و از راه دور اجازه دهد تا کد دلخواه را روی دستگاه آسیب‌دیده اجرا کند، منتشر کرده است.
این مشکل با عنوان CVE-2024-20253 (امتیاز CVSS: 9.9)، از پردازش نادرست داده‌های ارائه‌شده توسط کاربر ناشی می‌شود که یک عامل تهدید می‌تواند از آن برای ارسال یک پیام ساخته‌شده خاص به درگاه شنیداری یک دستگاه حساس سواستفاده کند.
سیسکو در توصیه‌نامه امنیتی خود گفت: "یک سواستفاده موفق می‌تواند به مهاجم اجازه دهد تا دستورات دلخواه را در سیستم عامل زیربنایی با اختیارات کاربر خدمات وب اجرا کند. با دسترسی به سیستم عامل زیربنایی، مهاجم همچنین می‌تواند برای خود، دسترسی روت را در دستگاه آسیب دیده ایجاد کند".
جولین اگلوف، محقق امنیتی Synacktiv، موفق به کشف و گزارش CVE-2024-20253 شد. محصولات زیر تحت تاثیر این نقص قرار دارند:
• Unified Communications Manager (نسخه‌های 11.5، 12.5(1)، و 14)
• Unified Communications Manager IM & Presence Service (نسخه‌های 11.5 (1)، 12.5(1)، و 14)
• Unified Communication Manager Session Management Edition (نسخه‌های 11.5، 12.5(1)، و 14)
• Unified Contact Center Express (نسخه‌های 12.0 و قبل از و 12.5 (1))
• Unity Connection (نسخه‌های 11.5 (1)، 12.5 (1)، و 14) و
• Virtualized Voice Browser (نسخه‌های 12.0 و قبل از آن، 12.5 (1) و 12.5 (2))
در‌حالی‌که هیچ راه‌حلی برای رفع این نقص وجود ندارد، سیسکو، شرکت سازنده تجهیزات شبکه از کاربران می‌خواهد تا لیست‌های کنترل دسترسی را برای محدود کردن دسترسی در جایی که اعمال بروزرسانی‌ها سریع امکان‌پذیر نیست، تنظیم و بررسی کنند.
این شرکت می‌گوید: "لیست‌های کنترل دسترسی (ACL) را بر روی دستگاه‌های واسطه‌ای که کلاستر‌های Cisco Unified Communications یا Cisco Contact Center Solutions را از کاربران و بقیه شبکه جدا می‌کنند، ایجاد کنید تا فقط به پورت‌های سرویس‌های مستقر شده دسترسی داشته باشید".
این افشا، چند هفته پس از ارسال رفع نقص‌های سیسکو برای نقص امنیتی مهمی که بر اتصال Unity تاثیر می‌گذارد (CVE-2024-20272، امتیاز CVSS: 7.3) ارسال شده، که می‌تواند به مهاجم اجازه دهد دستورات دلخواه را در سیستم اصلی اجرا کند.
