Cisco Unified Communications Manager IM & Presence Service の SQLI (cisco-sa-imp-sqlinj-GrpUuQEJ)

high Nessus プラグイン ID 160376

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。

説明

Cisco Unified Communications Manager IM Presence Service (Unified CM IMP) の Web ベース管理インターフェイスの脆弱性により、認証されたリモートの攻撃者が、影響を受けるシステムで SQL インジェクション攻撃を実行する可能性があります。この脆弱性は、ユーザーが送信したパラメーターを適切に検証していないことが原因です。攻撃者がこの脆弱性を悪用し、アプリケーションの認証を受けて、影響を受けるシステムに悪意のあるリクエストを送信する可能性があります。悪用に成功すると、攻撃者は影響を受けるシステムの基盤となるデータベースに保存されているデータを取得したり、そのデータを変更したりする可能性があります。

詳細については、付属の Cisco BID および Cisco Security Advisory を参照してください。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ソリューション

Cisco バグ ID CSCvy16643 に記載されている該当の修正済みバージョンにアップグレードしてください

参考資料

http://www.nessus.org/u?c2f5f43a

https://bst.cloudapps.cisco.com/bugsearch/bug/CSCvy16643

プラグインの詳細

深刻度: High

ID: 160376

ファイル名: cisco-sa-imp-sqlinj-GrpUuQEJ.nasl

バージョン: 1.4

タイプ: local

ファミリー: CISCO

公開日: 2022/4/29

更新日: 2022/5/6

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.2

CVSS v2

リスクファクター: Medium

基本値: 5.5

現状値: 4.1

ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:N

CVSS スコアのソース: CVE-2022-20786

CVSS v3

リスクファクター: High

基本値: 8.1

現状値: 7.1

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:cisco:unified_communications_manager_im_and_presence_service

必要な KB アイテム: installed_sw/Cisco Unified CM IM&P

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2022/4/20

脆弱性公開日: 2022/4/20

参照情報

CVE: CVE-2022-20786

CWE: 89

CISCO-SA: cisco-sa-imp-sqlinj-GrpUuQEJ

CISCO-BUG-ID: CSCvy16643