Aggiornamenti recenti Settembre 17th, 2025 4:45 PM
Gen 20, 2023 Marina Londei News, Vulnerabilità 0
Cisco ha annunciato delle patch di sicurezza per Unified Communications Manager e Unified Communications Manager Session Management Edition: le due piattaforme sono risultate vulnerabili ad attacchi di SQL injection. La vulnerabilità, identificata come CVE-2023-20010, è considerata ad alto rischio.
Secondo quanto riportato dall’azienda, la vulnerabilità è causata da un errore nella validazione dell’input utente. Un attaccante, spiega Cisco, può sfruttare la falla autenticandosi con privilegi di basso livello e inviare query SQL create ad hoc. In caso di successo dell’attacco, l’attaccante può accedere ai dati memorizzati nella piattaforma, modificarli e aumentare i propri privilegi.
A essere vulnerabili sono le due soluzioni VoIP di Cisco che si occupano di gestire le sessioni delle chiamate, la messaggistica e le conferenze sul web. La falla è presente sia nel prodotto base che nella release enterprise, nelle versioni 11.5(1), 12.5(1) e 14. Per le versioni 11 e 12 il fix è disponibile migrando alla 12.5(1)U7, mentre la patch per la 14 arriverà a marzo con la 14SU3.
L’azienda ha affermato che non è a conoscenza di casi in cui la vulnerabilità è già stata sfruttata dagli attaccanti. Gli amministratori dovrebbero provvedere immediatamente ad applicare le patch di sicurezza rilasciate da Cisco aggiornando i prodotti.
Non è la prima volta che Unified Communications Manager soffre a causa di una falla del genere: a inizio 2020 Cisco aveva pubblicato un avviso di sicurezza in cui spiegava che il prodotto era vulnerabile ad attacchi di SQL injection. In quel caso la vulnerabilità era dovuta a una validazione errata dei valori SQL: un attaccante avrebbe potuto modificare i record del database o raccogliere informazioni.
Il team di sicurezza di Cisco consiglia agli utenti di mantenere sempre aggiornati tutti i prodotti della suite, anche se al momento non ci sono vulnerabilità conosciute, e di controllare periodicamente i comunicati di sicurezza.
Set 08, 2025 0
Set 03, 2025 0
Ago 11, 2025 0
Ago 04, 2025 0
Set 17, 2025 0
Set 16, 2025 0
Set 15, 2025 0
Set 15, 2025 0
Set 17, 2025 0
La minaccia di MuddyWater non si arresta, anzi: negli...Set 12, 2025 0
L’intelligenza artificiale diventa non solo...Set 11, 2025 0
Il ransomware continua a dilagare e rimane la minaccia...Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Set 17, 2025 0
La minaccia di MuddyWater non si arresta, anzi: negli...Set 16, 2025 0
I ricercatori della compagnia di sicurezza Socket hanno...Set 15, 2025 0
La nuova squadra italiana per le competizioni di...Set 15, 2025 0
La scorsa settimana il CERT-AGID ha identificato e...Set 12, 2025 0
L’intelligenza artificiale diventa non solo...