思科修复多款软件高危误差清静通告
宣布时间 2019-06-06误差编号和级别
CVE编号：CVE-2019-1845，危险级别：高危，CVSS分值：8.6
受影响的版本
CVE-2019-1861
Cisco Industrial Network Director software releases prior to 1.6.0
CVE-2019-1845
TelePresence VCS configured for Mobile and Remote Access with IM&P Service (Releases X8.1 to X12.5.2)
Unified Communications Manager IM&P Service (multiple releases)
误差概述
思科修复了如下两个高危误差：
CVE-2019-1861
Cisco Industrial Network Director是美国思科（Cisco）公司的一套工业自动化治理系统。该系统通过对工业以太网基础设施的可视化操作来实现自动化治理。
Cisco Industrial Network Director软件更新功效中的误差可能允许经由身份验证的远程攻击者执行恣意代码。该误差是由于对上载到受影响的应用程序的文件举行了不准确的验证。 攻击者可以通过使用治理员权限验证受影响的系统并上载恣意文件来使用此误差。乐成使用可能允许攻击者使用提升的权限执行恣意代码。
CVE-2019-1845
Cisco Unified Communications Manager IM & Presence Service（CUCM IM&P）和TelePresence Video Communication Server (VCS) and Expressway都是美国思科（Cisco）公司的产品。Cisco Unified Communications Manager IM and Presence Service（CUCM IM&P）是一个使用在呼叫处置惩罚组件中的基于CUCM的即时新闻（IM）和状态显示平台。TelePresence Video Communication Server（VCS）and Expressway是一款网真视频通讯服务器。
Cisco Unified Communications Manager IM & Presence Service（CUCM IM&P）和TelePresence Video Communication Server (VCS) and Expressway系列的身份验证服务中的误差可能允许未经身份验证的远程攻击者导致实验用户的服务中止举行身份验证，导致拒绝服务（DoS）条件。该误差是由于对特定内存操作的控制缺乏造成的。攻击者可以通过向受影响的系统发送名堂过失的可扩展新闻和状态协议（XMPP）身份验证请求来使用此误差。乐成使用可能允许攻击者意外重启身份验证服务，从而阻止用户乐成举行身份验证。使用此误差不会影响在攻击之前举行身份验证的用户。
误差验证
暂无POC/EXP。
修复建议
现在厂商已宣布升级补丁以修复误差，补丁获取链接见参考链接。
参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190605-cucm-imp-dos
京公网安备11010802024551号