Cisco: Une faille dans le CCX permet l’exécution de code

Cisco a déployé un patch pour une faille critique d’exécution de code à distance dans sa solution de gestion des interactions avec les clients, Cisco Unified Contact Center Express (CCX).

Le logiciel Cisco Unified CCX est présenté comme un «centre de contact dans une boîte» qui permet aux entreprises de déployer des applications de service client. La faille (CVE-2020-3280), qui a un score CVSS de 9,8 sur 10, provient de l’interface de gestion à distance Java du produit.

“La vulnérabilité est due à la dé-sérialisation non sécurisée du contenu fourni à l’utilisateur par le logiciel concerné”, selon Cisco, dans une alerte de sécurité. «Un pirate pourrait exploiter cette vulnérabilité en envoyant un objet Java malveillant à un écouteur spécifique sur un système affecté. Un exploit réussi pourrait permettre au pirate d’exécuter du code arbitraire en tant qu’utilisateur root sur un appareil affecté.»

cisco webex

Un attaquant distant non authentifié pourrait exploiter cette faille pour exécuter du code arbitraire sur un appareil affecté. Ceux qui utilisent Cisco Unified CCX version 12.0 et antérieures sont invités à mettre à jour vers la version réparée, 12.0(1)ES03. La version 12.5 n’est pas vulnérable, selon le géant américain.

Cisco n’a connaissance d’aucune annonce publique ou utilisation malveillante de la faille, selon la mise à jour. Le géant de la technologie a également distribué un patch corrigeant une faille de haute gravité (CVE-2020-3272) dans son Prime Network Registrar, qui permet des services de protocole de configuration d’hôte dynamique (DHCP), ainsi que des services DNS.

cisco cdpwn

La faille provient d’une validation d’entrée insuffisante du trafic DHCP entrant. Elle se trouve sur le serveur DHCP et pourrait permettre à un attaquant distant non authentifié de déclencher une attaque de déni de service (DoS) sur un appareil affecté.

«Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête DHCP spécialement conçue à un appareil affecté», selon Cisco. “Un exploit réussi pourrait permettre à l’attaquant de provoquer un redémarrage du processus du serveur DHCP, provoquant une condition de DoS.”

Le logiciel CCX de Cisco n’est pas seul

Plusieurs failles de gravité moyenne ont également été corrigées, notamment une faille d’injection SQL dans le logiciel Prime Collaboration Provisioning (CVE-2020-3184), une faille DoS dans Cisco AMP pour Endpoints Mac Connector Software (CVE-2020-3314) et des failles de mémoire tampon (CVE-2020-3343, CVE-2020-3344) dans Cisco AMP pour Endpoints Linux Connector Software et Cisco AMP pour Endpoints Mac Connector Software.

Plus tôt ce mois-ci, Cisco a également patché 12 vulnérabilités de haute gravité affectant le logiciel Firepower Threat Defense (FTD), qui fait partie de sa suite de produits de sécurité réseau et de gestion du trafic; et son logiciel Adaptive Security Appliance (ASA), le système d’exploitation de sa famille de dispositifs de sécurité réseau d’entreprise ASA. Les failles peuvent être exploitées par des attaquants distants non authentifiés afin de lancer un ensemble d’attaques allant du déni de service (DoS) à la récupération des données sensibles.

Une autre faille dans IOS XE qui a été corrigée ce mois-ci permettait à un attaquant local authentifié d’exécuter des commandes arbitraires avec des privilèges root.