[TLP:CLEAR] Cisco opravuje 4 zranitelnosti ve svých produktech
Cisco opravuje 4 zranitelnosti ve svých produktech, z toho jednu kritickou. Seznam zranitelných produktů a dostupné opravy naleznete v odkazech uvedených u jednotlivých zranitelností [1][2][3][4].
Neautentizovanému vzdálenému útočníkovi je kvůli chybě při zpracování SSH zpráv serveru Erlang/OTP během fáze autentizace umožněno vzdálené spuštění kódu na postiženém zařízení [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-32433 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-306: Missing Authentication for Critical Function at cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 4. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ověřování vstupů při zpracování odkazů na schůzky v aplikaci Cisco Webex App umožněno přimět uživatele ke stažení libovolných souborů a následnému spuštění libovolného kódu s jeho oprávněními [2].
Zranitelnost se nachází v produktu Cisco Webex App ve verzích (=44.6) OR (=44.7).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-20236 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-829: Inclusion of Functionality from Untrusted Control Sphere at cwe.mitre.org
Zranitelnost byla veřejně oznámena 16. 4. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými přihlašovacími údaji je kvůli nedostatečné kontrole integrity záloh umožněno spustit libovolné příkazy jako root v systému Cisco Security Network Analytics prostřednictvím obnovení zálohovacího souboru [3].
Zranitelnost se nachází v produktu Cisco Secure Network Analytics ve verzích (=7.5.0) OR (=7.5.1) OR (=7.5.2).
CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-20178 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-347: Improper Verification of Cryptographic Signature at cwe.mitre.org
Zranitelnost byla veřejně oznámena 16. 4. 2025.
Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávného zpracování LDAP autentizačních požadavků umožněno prostřednictvím zasílání speciálně upravených požadavků zjišťovat platné LDAP uživatelské účty v systému Cisco Nexus Dashboard [4].
Zranitelnost se nachází v produktu Cisco Nexus Dashboard ve verzích (<=3.1) OR (=3.2).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-20150 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-209: Generation of Error Message Containing Sensitive Information at cwe.mitre.org
Zranitelnost byla veřejně oznámena 16. 4. 2025.
Odkazy
- [1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy
- [2] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-app-client-rce-ufyMMYLC
- [3] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sna-prvesc-4BQmK33Z
- [4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nd-unenum-2xFFh472
Za CESNET-CERTS Michaela Jarošová dne 5. 5. 2025.
