Cisco ha publicado parches para solucionar un fallo de seguridad crítico que afecta a los productos Unified Communications y Contact Center Solutions y que podría permitir a un atacante remoto no autenticado ejecutar código arbitrario en un dispositivo afectado.

Identificado como CVE-2024-20253 (puntuación CVSS: 9,9), el problema se deriva de un procesamiento incorrecto de los datos proporcionados por el usuario que un actor de amenazas podría utilizar para enviar un mensaje especialmente diseñado a un puerto de escucha de un dispositivo susceptible.

"Un exploit exitoso podría permitir al atacante ejecutar comandos arbitrarios en el sistema operativo subyacente con los privilegios del usuario de servicios web", dijo Cisco en un aviso. "Con acceso al sistema operativo subyacente, el atacante también podría establecer acceso root en el dispositivo afectado".

El investigador de seguridad de Synacktiv Julien Egloff ha sido el responsable de descubrir y notificar el CVE-2024-20253. El fallo afecta a los siguientes productos:

• Unified Communications Manager (versiones 11.5, 12.5(1) y 14)

• Unified Communications Manager IM & Presence Service (versiones 11.5(1), 12.5(1) y 14)

• Unified Communications Manager Session Management Edition (versiones 11.5, 12.5(1) y 14)

• Unified Contact Center Express (versiones 12.0 y anteriores y 12.5(1))

• Unity Connection (versiones 11.5(1), 12.5(1) y 14),

• Virtualized Voice Browser (versiones 12.0 y anteriores, 12.5(1) y 12.5(2))

Aunque no existen soluciones que resuelvan el problema, el fabricante de equipos de red insta a los usuarios a configurar listas de control de acceso para limitar el acceso cuando no sea posible aplicar las actualizaciones de forma inmediata.

"Establezca listas de control de acceso (ACL) en los dispositivos intermedios que separan el clúster de Cisco Unified Communications o Cisco Contact Center Solutions de los usuarios y del resto de la red para permitir el acceso únicamente a los puertos de los servicios desplegados", afirma la empresa.

La revelación se produce semanas después de que Cisco enviara correcciones para un fallo de seguridad crítico que afecta a Unity Connection (CVE-2024-20272, puntuación CVSS: 7,3) y que podría permitir a un adversario ejecutar comandos arbitrarios en el sistema subyacente.

Fuente: thehackernews