Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

シスコのビデオ会議サーバに脆弱性 - 重要度「クリティカル」も

ビデオ会議のネットワーク機能を提供する「Cisco Expresswayシリーズ」や、制御サーバ「Cisco TelePresence Video Communication Server(VCS)」に「クリティカル」とされる脆弱性が明らかとなった。アップデートが提供されている。

6月7日にアドバイザリをリリースし、権限昇格の脆弱性2件を明らかにしたもの。いずれも同社のセキュリティテストで発見したもので、リリース時点において脆弱性の悪用や公表は確認されていないという。

「CVE-2023-20105」は、パスワードの変更機能に明らかとなった脆弱性。「Administrator」レベルの読み込み権限を持つ場合、脆弱性を悪用することで書き込みの権限も取得できる。取得した権限を用いることであらゆるユーザーのパスワードを変更し、「なりすまし」を行なうことが可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」、重要度は「クリティカル(Critical)」とレーティングされている。

さらにユーザーロールの権限が正しく実装されていない脆弱性「CVE-2023-20192」が明らかとなった。「Administrator」レベルの読み込み権限についてコマンドラインにおけるアクセスを有効化している場合、脆弱性によって書き込み権限も取得できる。CVSS基本値は「8.4」、重要度は「高(High)」とレーティングされている。

同社は「CVE-2023-20105」を「同14.2.1」、「CVE-2023-20192」を「同14.3.0」にて修正した。また「CVE-2023-20192」については回避策をアナウンスしている。

(Security NEXT - 2023/06/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

東京ガスや子会社で個人情報流出の可能性 - 約416万人分
問合フォームの入力情報が外部流出の可能性 - オリジン東秀
「JSAC2025」は2025年1月に都内で開催 - CFPを開始
Oracle、四半期定例パッチを公開 - 脆弱性386件に対応
サイトが改ざん被害、情報流出は否定 - 秋田県立医療療育センター
「WooCommerce」向けフィルタプラグインに脆弱性
食肉通販サイトが不正アクセス被害 - 顧客情報を外部送信
実証実験サービスのサーバに攻撃、一部従業員情報が流出 - リクルート
ブラウザ「Chrome」にアップデート - セキュ関連で10件の修正
CTFイベント「SECCON 13」、今秋に予選 - 決勝は2025年3月