[TLP:CLEAR] Cisco opravuje 10 zranitelností
Cisco opravuje 10 zranitelností v různých produktech, z nichž nejzávažnější jsou popsány níže. Zbylé, včetně seznamu zranitelných produktů a dostupných oprav, naleznete na [1] po rozkliknutí jednotlivých varování.
Autentizovanému vzdálenému útočníkovi je v případě povoleného šifrovacího algoritmu TLS_CHACHA20_POLY1305_SHA256 pro TLS 1.3 v Cisco Secure Firewall ASA a Cisco Secure FTD na platformách Firepower 3100/4200 Series (s SSL listen socketem) umožněno zasíláním velkého množství TLS 1.3 připojení vykonat útok DoS, při němž zařízení přestane přijímat nová šifrovaná spojení (SSL/TLS i VPN). Obnovení provozu je možné pouze po restartu zařízení. Detaily ke zranitelnosti a možnostem mitigace naleznete na [2].
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H
Více informací:
- CVE-2025-20127 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-404: Improper Resource Shutdown or Release at cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci uživatelského vstupu ve webovém rozhraní Cisco Unified Communications Manager IM & Presence Service umožněno vykonat útok XSS [3].
Zranitelnost se nachází v produktu Cisco Unified Communications Manager IM & Presence Service ve verzích (>=12.5 AND <=12.5(1)SU9) OR (>=14 AND <=14SU4a) OR (>=15 AND <15SU3).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Více informací:
- CVE-2025-20330 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci uživatelského vstupu v komponentě Cisco Webex Meetings umožněno vykonat útok XSS [4]. Zranitelnost byla opravena přímo v cloudové službě a nevyžaduje žádnou akci ze strany uživatele.
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Více informací:
- CVE-2025-20328 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Odkazy
- [1] https://sec.cloudapps.cisco.com/security/center/publicationListing.x
- [2] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-3100_4200_tlsdos-2yNSCd54
- [3] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-imp-xss-XQgu4HSG
- [4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-xss-55bv8hhm
Za CESNET-CERTS Michaela Ručková dne 8. 9. 2025.
