Cisco, toplantı yönetiminde kritik bir güvenlik açığı konusunda uyarıyor. Üretici ayrıca güvenlik güncellemeleriyle Broadworks ve ClamAV'daki güvenlik açıklarını da düzeltti.
Duyuru
En ciddi güvenlik açığı Cisco'nun toplantı yönetimi REST API'siyle ilgilidir. Cisco, güvenlik danışma belgesinde (CVE-2025-20156, CVSS) “Cisco Meeting Management REST API'deki bir güvenlik açığı, uzak, kimliği doğrulanmış, düşük ayrıcalıklı saldırganların etkilenen cihazlarda ayrıcalıkları yönetici konumuna yükseltmesine olanak tanıyor” diye yazıyor. 9.9“Risk”eleştirmen“).
Yanlış hak kontrolü
Güvenlik açığı, REST API kullanıcılarının doğru yetkilendirilmesinin zorunlu kılınmamasından kaynaklanmaktadır. Saldırganlar uç noktalara API istekleri göndererek sızıntıyı kötüye kullanabilirler. Başarılı olursa saldırganlar, Cisco Meeting Management ile yönetilen uç düğümler üzerinde yönetici düzeyinde kontrol elde edebilir. Sürüm 3.10 bu güvenlik açığından etkilenmemektedir; Cisco Meeting Management 3.9.1 yükseltmesi, 3.9 sürümü için mevcuttur. Hala 3.8 veya önceki bir sürümü kullanan herkesin desteklenen bir sürüme geçmesi gerekir.
Hizmet Reddi Güvenlik Açığı Cisco Broadworks'ü Etkiliyor. Şirket bir güvenlik raporunda, kimliği doğrulanmamış ağ saldırganlarının SIP işleme alt sisteminde (CVE-2025-20165, CVSS) gelen SIP isteklerinin işlenmesini sekteye uğratabileceğini yazıyor 7.5, yüksek). Belirli SIP istekleri için bellek yönetimi yetersizdir; saldırganlar, Cisco Broadworks'ün SIP trafiğini işlemek için ayırdığı belleği kullanmak üzere çok sayıda SIP isteği göndererek bu durumu kötüye kullanabilir. Kullanılabilir bellek yoksa ağ sunucuları artık gelen istekleri işlemeyecektir. Hata, Cisco Broadworks RI.2024.11 sürümünden itibaren düzeltildi.
OLE2 (Object Linking and Embedding 2, 1990'ların başında modern kabul edilen köklü bir konteyner formatı) akışlarını işlerken ClamAV virüs tarayıcısı, bir limit kontrolünde tamsayı yetersizliği nedeniyle okuma sırasında arabellek limitlerini aşabilir ve bu da görünüşte bir çökmeye neden olur. Kimliği doğrulanmamış çevrimiçi saldırganlar, ClamAV ile taranan bir sisteme değiştirilmiş dosyalar göndererek hizmet reddine neden olabilir (CVE-2025-20128, CVSS) 5.3, orta).
Cisco, risk değerlendirmesinin CVSS'ye dayandığı Güvenli Uç Nokta Bağlayıcısı ve Özel Bulut için ClamAV'ı kullanıyor 6.9zar zor orta Risk artar. Linux 1.25.1, Mac 1.24.4, Windows 7.5.20 ve 8.4.3 ve Özel Bulut 4.2.0 için Güvenli Uç Nokta Bağlayıcısı hatasını güncellenmiş bağlayıcılarla düzeltin. Cisco, geliştiricilerin bu güvenlik açığına yönelik kavram kanıtı yararlanma kodunun farkında olduklarını belirtiyor; Ancak şu ana kadar kötü amaçlı saldırılarda kullanıldığı bildirilmedi.
(Bilmiyorum)
Duyuru
En ciddi güvenlik açığı Cisco'nun toplantı yönetimi REST API'siyle ilgilidir. Cisco, güvenlik danışma belgesinde (CVE-2025-20156, CVSS) “Cisco Meeting Management REST API'deki bir güvenlik açığı, uzak, kimliği doğrulanmış, düşük ayrıcalıklı saldırganların etkilenen cihazlarda ayrıcalıkları yönetici konumuna yükseltmesine olanak tanıyor” diye yazıyor. 9.9“Risk”eleştirmen“).
Yanlış hak kontrolü
Güvenlik açığı, REST API kullanıcılarının doğru yetkilendirilmesinin zorunlu kılınmamasından kaynaklanmaktadır. Saldırganlar uç noktalara API istekleri göndererek sızıntıyı kötüye kullanabilirler. Başarılı olursa saldırganlar, Cisco Meeting Management ile yönetilen uç düğümler üzerinde yönetici düzeyinde kontrol elde edebilir. Sürüm 3.10 bu güvenlik açığından etkilenmemektedir; Cisco Meeting Management 3.9.1 yükseltmesi, 3.9 sürümü için mevcuttur. Hala 3.8 veya önceki bir sürümü kullanan herkesin desteklenen bir sürüme geçmesi gerekir.
Hizmet Reddi Güvenlik Açığı Cisco Broadworks'ü Etkiliyor. Şirket bir güvenlik raporunda, kimliği doğrulanmamış ağ saldırganlarının SIP işleme alt sisteminde (CVE-2025-20165, CVSS) gelen SIP isteklerinin işlenmesini sekteye uğratabileceğini yazıyor 7.5, yüksek). Belirli SIP istekleri için bellek yönetimi yetersizdir; saldırganlar, Cisco Broadworks'ün SIP trafiğini işlemek için ayırdığı belleği kullanmak üzere çok sayıda SIP isteği göndererek bu durumu kötüye kullanabilir. Kullanılabilir bellek yoksa ağ sunucuları artık gelen istekleri işlemeyecektir. Hata, Cisco Broadworks RI.2024.11 sürümünden itibaren düzeltildi.
OLE2 (Object Linking and Embedding 2, 1990'ların başında modern kabul edilen köklü bir konteyner formatı) akışlarını işlerken ClamAV virüs tarayıcısı, bir limit kontrolünde tamsayı yetersizliği nedeniyle okuma sırasında arabellek limitlerini aşabilir ve bu da görünüşte bir çökmeye neden olur. Kimliği doğrulanmamış çevrimiçi saldırganlar, ClamAV ile taranan bir sisteme değiştirilmiş dosyalar göndererek hizmet reddine neden olabilir (CVE-2025-20128, CVSS) 5.3, orta).
Cisco, risk değerlendirmesinin CVSS'ye dayandığı Güvenli Uç Nokta Bağlayıcısı ve Özel Bulut için ClamAV'ı kullanıyor 6.9zar zor orta Risk artar. Linux 1.25.1, Mac 1.24.4, Windows 7.5.20 ve 8.4.3 ve Özel Bulut 4.2.0 için Güvenli Uç Nokta Bağlayıcısı hatasını güncellenmiş bağlayıcılarla düzeltin. Cisco, geliştiricilerin bu güvenlik açığına yönelik kavram kanıtı yararlanma kodunun farkında olduklarını belirtiyor; Ancak şu ana kadar kötü amaçlı saldırılarda kullanıldığı bildirilmedi.
(Bilmiyorum)