CVE-2026-20281
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w telefonach Cisco Desk Phone 9800 Series, IP Phone 7800 i 8800 Series oraz Video Phone 8875 z oprogramowaniem SIP pozwala nieuwierzytelnionemu zdalnemu atakującemu spowodować warunek DoS. Wynika to z nieprawidłowego zarządzania pamięcią podczas przetwarzania pakietów HTTP, a atak polega na wysyłaniu ciągłego strumienia spreparowanych pakietów HTTP.
Ocena ryzyka
Atak może spowodować ciągłe zużywanie pamięci urządzenia, prowadząc do braku dostępności telefonu. Wymagany jest ręczny restart urządzenia, co może zakłócić komunikację.
Rekomendacja
Zastosuj aktualizacje oprogramowania SIP dostarczone przez Cisco oraz rozważ wyłączenie Web Access, jeśli nie jest wymagany, aby zmniejszyć ryzyko.
Inne podatności w Cisco SIP Software
Zobacz wszystkie- CVE-2025-20351Średnie
Podatność w interfejsie webowym telefonów Cisco Desk Phone 9800, IP Phone 7800/8800 oraz Video Phone 8875 z oprogramowaniem SIP pozwala nieuwierzytelnionemu zdalnemu atakującemu przeprowadzić ataki XSS na użytkownika interfejsu. Problem wynika z niedostatecznej walidacji danych wprowadzanych przez użytkownika. Atak wymaga kliknięcia spreparowanego linku przez ofiarę, a telefon musi być zarejestrowany w Cisco Unified Communications Manager i mieć włączony dostęp webowy (domyślnie wyłączony).
- CVE-2025-20350Wysokie
Podatność w interfejsie webowym telefonów Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 i 8800 Series oraz Cisco Video Phone 8875 z oprogramowaniem Cisco SIP Software może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie stanu DoS na urządzeniu. Wynika to z przepełnienia bufora podczas przetwarzania pakietów HTTP. Atakujący może wysłać spreparowane dane HTTP do urządzenia, co może spowodować jego przeładowanie. Aby wykorzystać lukę, telefon musi być zarejestrowany w Cisco Unified Communications Manager i mieć włączony dostęp webowy (domyślnie wyłączony).
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 and 8800 Series, and Cisco Video Phone 8875 that are running Cisco Session Initiation Protocol (SIP) Software could allow an unauthenticated, remote attacker to cause a denial of service (DoS) condition on an affected device. This vulnerability is due to improper memory management when an affected device processes HTTP packets. An attacker could exploit this vulnerability by sending a continuous stream of crafted HTTP packets to the device. A successful exploit could allow the attacker to cause the affected device to continuously consume memory, resulting in a DoS condition. A manual reboot of the device is required to recover from this condition. Note: For this vulnerability to be exploitable, the phone must be registered to Cisco Unified Communications Manager (Unified CM) and have Web Access enabled. Web Access is disabled by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS