CVE-2017-6651
WysokieStreszczenie
Podatność w Cisco WebEx Meetings Server może umożliwić nieautoryzowanym, zdalnym atakującym uzyskanie informacji o zaplanowanych spotkaniach klientów. Problem wynika z niekompletnej konfiguracji pliku robots.txt w rozwiązaniach WebEx hostowanych przez klientów.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania informacji o zaplanowanych spotkaniach, co może prowadzić do nieautoryzowanego uczestnictwa w tych spotkaniach.
Rekomendacja
Zaleca się aktualizację Cisco WebEx Meetings Server do wersji późniejszej niż 2.5MR4 oraz poprawną konfigurację pliku robots.txt, aby zminimalizować ryzyko.
Inne podatności w Cisco WebEx Meetings Server
Zobacz wszystkie- CVE-2014-0691Wysokie
Serwer Cisco WebEx Meetings przed wersją 1.1 wykorzystuje identyfikatory spotkań z niewystarczającą entropią, co umożliwia zdalnym atakującym ominięcie uwierzytelnienia i dołączenie do dowolnych spotkań bez hasła.
- CVE-2017-12293Wysokie
Podatność w Cisco WebEx Meetings Server może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS). Problem wynika z niewystarczających ograniczeń dotyczących liczby połączeń, które mogą być nawiązywane z oprogramowaniem.
- CVE-2017-3796Wysokie
Podatność w Cisco WebEx Meetings Server umożliwia uwierzytelnionemu, zdalnemu atakującemu wykonanie z góry określonych poleceń powłoki na innych hostach.
- CVE-2017-3794Wysokie
Podatność w Cisco WebEx Meetings Server umożliwia nieautoryzowanemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site request forgery (CSRF) przeciwko użytkownikowi administracyjnemu.
- CVE-2016-1483Wysokie
Cisco WebEx Meetings Server w wersji 2.6 pozwala zdalnym atakującym na spowodowanie odmowy usługi (zużycie CPU) poprzez wielokrotne uzyskiwanie dostępu do komponentu walidacji konta w nieokreślonej usłudze.
- CVE-2016-1482Wysokie
Cisco WebEx Meetings Server w wersji 2.6 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wstrzykiwanie tych poleceń do skryptu aplikacji.
- CVE-2016-1484Wysokie
Cisco WebEx Meetings Server w wersji 2.6 umożliwia zdalnym atakującym obejście zamierzonych ograniczeń dostępu i uzyskanie wrażliwych informacji aplikacji poprzez nieokreślone wektory.
- CVE-2016-1448Wysokie
Podatność CSRF w Cisco WebEx Meetings Server 2.7 umożliwia zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników.
- CVE-2016-1450Wysokie
Cisco WebEx Meetings Server w wersji 2.6 umożliwia zdalnym, uwierzytelnionym użytkownikom przeprowadzanie ataków typu injection komend poprzez odpowiednie typy plików podczas przesyłania, znane jako błąd ID CSCuy92715.
- CVE-2016-1446Wysokie
Podatność na wstrzykiwanie SQL w Cisco WebEx Meetings Server 2.6 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Cisco WebEx Meetings Server could allow unauthenticated, remote attackers to gain information that could allow them to access scheduled customer meetings. The vulnerability is due to an incomplete configuration of the robots.txt file on customer-hosted WebEx solutions and occurs when the Short URL functionality is not activated. All releases of Cisco WebEx Meetings Server later than release 2.5MR4 provide this functionality. An attacker could exploit this vulnerability via an exposed parameter to search for indexed meeting information. A successful exploit could allow the attacker to obtain scheduled meeting information and potentially allow the attacker to attend scheduled, customer meetings. This vulnerability affects the following releases of Cisco WebEx Meetings Server: 2.5, 2.6, 2.7, 2.8. Cisco Bug IDs: CSCve25950.