[TLP:CLEAR] Cisco opravuje 4 zranitelnosti ve svých produktech
Cisco opravuje 4 zranitelnosti ve svých produktech, z toho jednu kritickou. Seznam zranitelných produktů a dostupné opravy naleznete v odkazech uvedených u jednotlivých zranitelností [1][2][3][4].
Neautentizovanému vzdálenému útočníkovi je kvůli chybě při zpracování SSH zpráv serveru Erlang/OTP během fáze autentizace umožněno vzdálené spuštění kódu na postiženém zařízení [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-32433 na cve.org, NVD
- CWE-306: Missing Authentication for Critical Function na cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 4. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ověřování vstupů při zpracování odkazů na schůzky v aplikaci Cisco Webex App umožněno přimět uživatele ke stažení libovolných souborů a následnému spuštění libovolného kódu s jeho oprávněními [2].
Zranitelnost se nachází v produktu:
- *:Cisco Webex App; =44.6; =44.7
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-20236 na cve.org, NVD
- CWE-829: Inclusion of Functionality from Untrusted Control Sphere na cwe.mitre.org
Zranitelnost byla veřejně oznámena 16. 4. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými přihlašovacími údaji je kvůli nedostatečné kontrole integrity záloh umožněno spustit libovolné příkazy jako root v systému Cisco Security Network Analytics prostřednictvím obnovení zálohovacího souboru [3].
Zranitelnost se nachází v produktu:
- *:Cisco Secure Network Analytics; =7.5.0; =7.5.1; =7.5.2
CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-20178 na cve.org, NVD
- CWE-347: Improper Verification of Cryptographic Signature na cwe.mitre.org
Zranitelnost byla veřejně oznámena 16. 4. 2025.
Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávného zpracování LDAP autentizačních požadavků umožněno prostřednictvím zasílání speciálně upravených požadavků zjišťovat platné LDAP uživatelské účty v systému Cisco Nexus Dashboard [4].
Zranitelnost se nachází v produktu:
- *:Cisco Nexus Dashboard; <=3.1; =3.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-20150 na cve.org, NVD
- CWE-209: Generation of Error Message Containing Sensitive Information na cwe.mitre.org
Zranitelnost byla veřejně oznámena 16. 4. 2025.
Odkazy
- [1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy
- [2] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-app-client-rce-ufyMMYLC
- [3] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sna-prvesc-4BQmK33Z
- [4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nd-unenum-2xFFh472
Za CESNET, z.s.p.o. Michaela Jarošová dne 5. 5. 2025.