Cisco corrigió una falla de inyección SQL de alta gravedad, rastreada como
CVE-2023-20010 (puntaje CVSS de 8.1), en Unified Communications Manager y
Unified Communications Manager Session Management Edition.
La vulnerabilidad CVE-2023-20010 reside en la interfaz de administración
basada en la web de Cisco Unified Communications Manager (Unified CM) y Cisco
Unified Communications Manager Session Management Edition (Unified CM SME), un
atacante remoto autenticado puede activarla para realizar ataques de
inyección SQL a un sistema vulnerable.
«Esta vulnerabilidad existe porque la interfaz de administración basada en
la web valida de manera inadecuada la entrada del usuario».
Un atacante remoto podría explotar la vulnerabilidad autenticando en la
aplicación como un usuario de bajos privilegios y enviar consultas SQL al
sistema afectado, lo que permitirá leer o modificar cualquier dato en la base
de datos subyacente y escalar sus privilegios.
Un atacante podría explotar esta vulnerabilidad al autenticarse en la
aplicación como un usuario con pocos privilegios y enviar consultas SQL
manipuladas a un sistema afectado. Una explotación exitosa podría permitir que
el atacante lea o modifique cualquier dato en la base de datos subyacente o
eleve sus privilegios.
La falla afecta a las versiones 11.5(1), 12.5(1) y 14 de Cisco Unified CM y
Unified CM SME.
actualicen a la última versión
aunque Cisco no tiene conocimiento de ataques en la naturaleza sobre esta
vulnerabilidad.
Fuente:
SecurityAffairs
Los comentarios están cerrados.