思科修复多款软件高危误差清静通告

宣布时间 2019-06-06

误差编号和级别



CVE编号：CVE-2019-1861，，，，危险级别：高危，，，，CVSS分值：7.2

CVE编号：CVE-2019-1845，，，，危险级别：高危，，，，CVSS分值：8.6



受影响的版本



CVE-2019-1861


Cisco Industrial Network Director software releases prior to 1.6.0


CVE-2019-1845


Expressway Series configured for Mobile and Remote Access with IM&P Service (Releases X8.1 to X12.5.2)
TelePresence VCS configured for Mobile and Remote Access with IM&P Service (Releases X8.1 to X12.5.2)

Unified Communications Manager IM&P Service (multiple releases)



误差概述



思科修复了如下两个高危误差：


CVE-2019-1861


Cisco Industrial Network Director是美国思科（Cisco）公司的一套工业自动化治理系统。。。。。。该系统通过对工业以太网基础设施的可视化操作来实现自动化治理。。。。。。


Cisco Industrial Network Director软件更新功效中的误差可能允许经由身份验证的远程攻击者执行恣意代码。。。。。。该误差是由于对上载到受影响的应用程序的文件举行了不准确的验证。。。。。。 攻击者可以通过使用治理员权限验证受影响的系统并上载恣意文件来使用此误差。。。。。。乐成使用可能允许攻击者使用提升的权限执行恣意代码。。。。。。


CVE-2019-1845


Cisco Unified Communications Manager IM & Presence Service（CUCM IM&P）和TelePresence Video Communication Server (VCS) and Expressway都是美国思科（Cisco）公司的产品。。。。。。Cisco Unified Communications Manager IM and Presence Service（CUCM IM&P）是一个使用在呼叫处置惩罚组件中的基于CUCM的即时新闻（IM）和状态显示平台。。。。。。TelePresence Video Communication Server（VCS）and Expressway是一款网真视频通讯效劳器。。。。。。


Cisco Unified Communications Manager IM & Presence Service（CUCM IM&P）和TelePresence Video Communication Server (VCS) and Expressway系列的身份验证效劳中的误差可能允许未经身份验证的远程攻击者导致实验用户的效劳中止举行身份验证，，，，导致拒绝效劳（DoS）条件。。。。。。该误差是由于对特定内存操作的控制缺乏造成的。。。。。。攻击者可以通过向受影响的系统发送名堂过失的可扩展新闻和状态协议（XMPP）身份验证请求来使用此误差。。。。。。乐成使用可能允许攻击者意外重启身份验证效劳，，，，从而阻止用户乐成举行身份验证。。。。。。使用此误差不会影响在攻击之前举行身份验证的用户。。。。。。



误差验证



暂无POC/EXP。。。。。。



修复建议



现在厂商已宣布升级补丁以修复误差，，，，补丁获取链接见参考链接。。。。。。



参考链接



https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190605-ind-rce
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190605-cucm-imp-dos