VoIP電話「Cisco IP Phone」に複数の脆弱性 - アップデートが公開

Cisco Systemsが提供するVoIP電話「Cisco IP Phone」の一部シリーズに複数の脆弱性が明らかとなった。アップデートを提供している。

現地時間5月1日にセキュリティアドバイザリを公開し、「同8800」「同7800」「同6800」のファームウェアに関する脆弱性3件を公表したもの。

アドバイザリの重要度を4段階中、上から2番目にあたる「高（High）」とレーティングしている。脆弱性の悪用や公開は確認されていない。

具体的には、サービス拒否の脆弱性「CVE-2024-20376」や、ウェブ管理インターフェイスにおいて認証が欠如しており、機密情報が漏洩する「CVE-2024-20378」が判明。特定の構成で第三者により通話を開始される「CVE-2024-20357」が明らかとなった。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2024-20376」および「CVE-2024-20378」が「7.5」、「CVE-2024-20357」が「5.3」と評価されている。

同社は「Cisco IP Phone」向けに脆弱性を修正したファームウェア「バージョン12.0.4SR1」を公開。マルチプラットフォームモードで「Video Phone 8875」を利用した場合も影響があり、アップデートとなる「バージョン2.3.1.0101」を提供している。

（Security NEXT - 2024/05/07 ）ツイート