PT-2020-3144 · Cisco · Cisco Unity Connection+3

Publicado 2020-07-01 · Atualizado 2020-07-09 · CVE-2020-3282

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Cisco Unified Communications Manager (versões afetadas não especificadas)

Cisco Unified Communications Manager Session Management Edition (versões afetadas não especificadas)

Cisco Unified Communications Manager IM & Presence Service (versões afetadas não especificadas)

Cisco Unity Connection (versões afetadas não especificadas)

Descrição

Uma vulnerabilidade na interface de gerenciamento baseada na web poderia permitir que um invasor remoto não autenticado realizasse um ataque de script entre sites (XSS) contra um usuário da interface. O problema se deve à validação insuficiente das entradas fornecidas pelo usuário. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário a clicar em um link malicioso, o que poderia permitir a execução de código de script arbitrário ou o acesso a informações confidenciais do navegador.

Recomendações

Para o Cisco Unified Communications Manager, atualize para uma versão que inclua a correção para este problema.

Para o Cisco Unified Communications Manager Session Management Edition, atualize para uma versão que inclua a correção para este problema.

Para o Cisco Unified Communications Manager IM & Presence Service, atualize para uma versão que inclua a correção para este problema.

Para o Cisco Unity Connection, atualize para uma versão que inclua a correção para este problema.

Como solução alternativa temporária, considere restringir o acesso à interface de gerenciamento baseada na web até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2020-03438

CVE-2020-3282

Produtos afetados

Cisco Unified Communications Manager

Cisco Unified Communications Manager Im & Presence Service

Cisco Unified Communications Manager Session Management Edition

Cisco Unity Connection

Referências · 5

• https://t.me/cvenotify/4798 · Publicação no Telegram
• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-cuc-imp-xss-OWuSYAp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-3282 · Nota de Segurança
• https://bdu.fstec.ru/vul/2020-03438 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-3282 · Aviso do Fabricante