CVE-2025-20350
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie webowym telefonów Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 i 8800 Series oraz Cisco Video Phone 8875 z oprogramowaniem Cisco SIP Software może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie stanu DoS na urządzeniu. Wynika to z przepełnienia bufora podczas przetwarzania pakietów HTTP. Atakujący może wysłać spreparowane dane HTTP do urządzenia, co może spowodować jego przeładowanie. Aby wykorzystać lukę, telefon musi być zarejestrowany w Cisco Unified Communications Manager i mieć włączony dostęp webowy (domyślnie wyłączony).
Ocena ryzyka
Atakujący może spowodować niedostępność urządzenia telefonicznego, co może zakłócić komunikację w organizacji. Jednak wymagane jest spełnienie dodatkowych warunków (rejestracja w UC Manager i włączony Web Access).
Rekomendacja
Zaleca się aktualizację oprogramowania SIP na urządzeniach do najnowszej wersji zawierającej poprawkę. Należy również rozważyć wyłączenie Web Access, jeśli nie jest wymagany.
Inne podatności w Cisco SIP Software
Zobacz wszystkie- CVE-2026-20281Wysokie
Podatność w telefonach Cisco Desk Phone 9800 Series, IP Phone 7800 i 8800 Series oraz Video Phone 8875 z oprogramowaniem SIP pozwala nieuwierzytelnionemu zdalnemu atakującemu spowodować warunek DoS. Wynika to z nieprawidłowego zarządzania pamięcią podczas przetwarzania pakietów HTTP, a atak polega na wysyłaniu ciągłego strumienia spreparowanych pakietów HTTP.
- CVE-2025-20351Średnie
Podatność w interfejsie webowym telefonów Cisco Desk Phone 9800, IP Phone 7800/8800 oraz Video Phone 8875 z oprogramowaniem SIP pozwala nieuwierzytelnionemu zdalnemu atakującemu przeprowadzić ataki XSS na użytkownika interfejsu. Problem wynika z niedostatecznej walidacji danych wprowadzanych przez użytkownika. Atak wymaga kliknięcia spreparowanego linku przez ofiarę, a telefon musi być zarejestrowany w Cisco Unified Communications Manager i mieć włączony dostęp webowy (domyślnie wyłączony).
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web UI of Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 and 8800 Series, and Cisco Video Phone 8875 running Cisco SIP Software could allow an unauthenticated, remote attacker to cause a DoS condition on an affected device. This vulnerability is due to a buffer overflow when an affected device processes HTTP packets. An attacker could exploit this vulnerability by sending crafted HTTP input to the device. A successful exploit could allow the attacker to cause the device to reload, resulting in a DoS condition. Note: To exploit this vulnerability, the phone must be registered to Cisco Unified Communications Manager and have Web Access enabled. Web Access is disabled by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS