Cisco製コラボレーションツールに重要度「Critical」の脆弱性

Cisco Systemsの「Cisco Expresswayシリーズ」および「Cisco TelePresence Video Communication Server（VCS）」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

APIやウェブベースの管理インタフェースに2件の脆弱性「CVE-2022-20812」「CVE-2022-20813」が判明したもの。いずれも悪用は確認されていないという。

「CVE-2022-20812」は、クラスタデータベースのAPIにおいてコマンド引数の入力検証に不備があり、パストラバーサルによってファイルの上書きが可能となる脆弱性。

脆弱性の悪用には、アプリケーションにおける管理者の読み取りや書き込み権限が必要となるが、OSのroot権限でファイルの上書きが可能になるという。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.0」で、重要度は「クリティカル（Critical）」とレーティングされている。

またヌルバイトポイズニングの脆弱性「CVE-2022-20813」が明らかとなった。証明書の検証処理に不備があり、中間者攻撃により細工した証明書を使用してエンドポイントを偽装し、通信内容の盗聴や改ざんが行われるおそれがある。CVSS基本値は「7.4」、重要度は「高（High）」。

同社では、脆弱性を解消した「同14.0.7」をリリース。同バージョンへ更新するよう求めている。

（Security NEXT - 2022/07/07 ）ツイート