CVE Vulnerability Catalog

Urządzenia Cisco Adaptive Security Appliances (ASA) serii 5500 oraz Cisco PIX Security Appliances serii 500, w trybie przezroczystego zapory, mogą być podatne na atak typu denial of service, gdy IPv6 nie jest skonfigurowane. Atakujący mogą wykorzystać ruch IPv6 do wyczerpania bufora pakietów, co prowadzi do awarii urządzenia.

Urządzenia Cisco TelePresence Recording Server z oprogramowaniem 1.6.x nie wymagają uwierzytelnienia dla interfejsu XML-RPC, co umożliwia zdalnym atakującym wykonywanie nieokreślonych działań przez sesję na porcie TCP 8080.

Urządzenia Cisco TelePresence Recording Server z oprogramowaniem 1.6.x są podatne na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez wysłanie źle sformułowanego żądania. Problem ten jest związany z kwestią 'ad hoc recording', znaną jako błąd CSCtf97205.

Implementacja XML-RPC w urządzeniach Cisco TelePresence Multipoint Switch (CTMS) w wersjach oprogramowania 1.0.x, 1.1.x, 1.5.x, 1.6.x i 1.7.0 pozwala zdalnym atakującym na spowodowanie awarii usługi (crash procesu) poprzez specjalnie przygotowane żądanie.

Urządzenia Cisco TelePresence Multipoint Switch (CTMS) z oprogramowaniem 1.0.x, 1.1.x, 1.5.x i 1.6.x pozwalają zdalnym atakującym na spowodowanie awarii usługi (crash procesu) poprzez specjalnie przygotowany pakiet UDP protokołu RTCP, znany jako Bug ID CSCth60993.

Urządzenia Cisco TelePresence Recording Server z oprogramowaniem 1.6.x oraz urządzenia Cisco TelePresence Multipoint Switch (CTMS) z oprogramowaniem 1.0.x, 1.1.x, 1.5.x i 1.6.x nie ograniczają prawidłowo zdalnego dostępu do interfejsu RMI Java servlet, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (zużycie pamięci i awaria strony) poprzez wiele spreparowanych żądań.

Interfejs administracyjny na urządzeniach Cisco TelePresence Multipoint Switch (CTMS) w wersjach oprogramowania 1.0.x, 1.1.x, 1.5.x i 1.6.x pozwala zdalnym uwierzytelnionym użytkownikom na spowodowanie odmowy usługi lub innego nieokreślonego wpływu poprzez dostęp do serwletu.

Implementacja XML-RPC na urządzeniach Cisco TelePresence Recording Server z oprogramowaniem 1.6.x i 1.7.x przed wersją 1.7.1 pozwala zdalnym atakującym na nadpisywanie plików, co może prowadzić do wykonania dowolnego kodu poprzez źle sformułowane żądanie.

Interfejs administracyjny na urządzeniach Cisco TelePresence Recording Server z oprogramowaniem 1.6.x oraz Cisco TelePresence Multipoint Switch (CTMS) z oprogramowaniem 1.0.x, 1.1.x, 1.5.x i 1.6.x umożliwia zdalnym atakującym tworzenie lub nadpisywanie dowolnych plików, a także potencjalne wykonywanie dowolnego kodu, poprzez spreparowane żądanie.

Framework Java Servlet na urządzeniach Cisco TelePresence Multipoint Switch (CTMS) w wersjach oprogramowania 1.0.x, 1.1.x, 1.5.x i 1.6.x nie wymaga uwierzytelnienia administracyjnego dla nieokreślonych działań, co umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego żądania.

Framework Java Servlet na urządzeniach Cisco TelePresence Recording Server z oprogramowaniem 1.6.x przed 1.6.2 oraz na urządzeniach Cisco TelePresence Multipoint Switch (CTMS) z oprogramowaniem 1.0.x, 1.1.x, 1.5.x i 1.6.x nie wymaga uwierzytelnienia administracyjnego dla nieokreślonych działań, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego żądania.

Podsystem CGI na urządzeniach Cisco TelePresence Recording Server z oprogramowaniem 1.6.x przed wersją 1.6.2 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez żądanie do portu TCP 443, co jest związane z podatnością na wstrzykiwanie poleceń.

Cisco TelePresence Manager w wersjach 1.2.x do 1.6.x umożliwia zdalnym atakującym wykonywanie nieokreślonych działań oraz uruchamianie dowolnego kodu poprzez spreparowane żądanie do interfejsu Java RMI, co jest związane z podatnością na wstrzykiwanie poleceń.

Cisco TelePresence Manager w wersjach od 1.2.x do 1.6.x umożliwia zdalnym atakującym ominięcie uwierzytelniania i wywołanie dowolnych metod za pomocą źle sformułowanego żądania SOAP, znanego jako Bug ID CSCtc59562.

Przepełnienie bufora w urządzeniach Cisco Adaptive Security Appliances (ASA) serii 5500 oraz w różnych wersjach oprogramowania urządzeń Cisco TelePresence, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet Cisco Discovery Protocol.

Implementacja XML-RPC na urządzeniach Cisco TelePresence z oprogramowaniem 1.2.x do 1.5.x umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą żądania TCP, co jest związane z podatnością na wstrzykiwanie poleceń.

Urządzenia końcowe Cisco TelePresence z oprogramowaniem w wersjach od 1.2.x do 1.6.x są podatne na ataki zdalne, które mogą prowadzić do awarii usługi poprzez wysłanie źle sformułowanego żądania SOAP w połączeniu z fałszowanym Menedżerem TelePresence, który dostarcza nieprawidłowy adres IP.

Implementacja TFTP na urządzeniach Cisco TelePresence z oprogramowaniem 1.2.x do 1.5.x, 1.6.0 i 1.6.1 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji za pomocą żądania GET.

Implementacja CGI na urządzeniach Cisco TelePresence z oprogramowaniem w wersjach 1.2.x do 1.6.x pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń poprzez źle sformułowane żądanie, co jest związane z podatnościami na wstrzykiwanie poleceń.

Implementacja CGI na urządzeniach Cisco TelePresence z oprogramowaniem 1.2.x do 1.5.x pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń poprzez źle sformułowane żądanie, co jest związane z podatnościami na wstrzykiwanie poleceń.