Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Cisco opravuje 5 zraniteľností
Cisco opravuje 5 zraniteľností v rôznych produktoch. Produkty a ich opravené verzie: Cisco Cyber Vision Center - 5.3 [1] Cisco Unified Communications Manager - 15SU3 [2] Cisco Unified Communications Manager Session Management Edition - 15SU3 [2] Dostupnosť opravy pre produkty Cisco IOS a IOS XE Software je možné overiť pomocou nástroja Cisco Software Checker [3].
Autentifikovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu stack overflow v SNMP subsystéme softvéru Cisco IOS a Cisco IOS XE umožnené vykonať DoS útok [4].
Zraniteľnosť sa nachádza v produktoch:
- Cisco IOS;
- Cisco IOS XE;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H/E:X/RL:X/RC:X
Viac informácií:
- CVE-2025-20352 na cve.org, NVD
- CWE-121: Stack-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 30. 9. 2025.
Neautentifikovanému útočníkovi v lokálnej sieti je v softvéri Cisco IOS XE pre prepínače série Catalyst 9000 prostredníctvom špeciálne upravených ethernetových rámcov umožnené vykonať DoS útok [5].
Zraniteľnosť sa nachádza v produkte:
- Cisco IOS XE;
CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H/E:X/RL:X/RC:X
Viac informácií:
- CVE-2025-20311 na cve.org, NVD
- CWE-19: Data Processing Errors na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 30. 9. 2025.
Autentifikovanému vzdialenému útočníkovi je v produkte Cisco Cyber Vision Center kvôli nedostatočnej validácii používateľského vstupu vo webovom rozhraní umožnené vykonať XSS útok. Na zneužitie zraniteľnosti je vyžadovaný administrátorský prístup na stránku Sensor Explorer pre CVE-2025-20356 alebo na stránku Reports pre CVE-2025-20357 [1].
Zraniteľnosť sa nachádza v produkte:
- Cisco Cyber Vision Center; >5.0, <=5.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N/E:X/RL:X/RC:X
Viac informácií:
- CVE-2025-20356 na cve.org, NVD
- CVE-2025-20357 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 10. 2025.
Autentifikovanému vzdialenému útočníkovi s platnými administrátorskými údajmi je kvôli nedostatočnej validácii používateľského vstupu vo webovom rozhraní produktov Cisco Unified Communications Manager a Unified Communications Manager Session Management Edition umožnené vykonať XSS útok [2].
Zraniteľnosť sa nachádza v produktoch:
- Cisco Unified Communications Manager; >=12.5, <15SU3
- Cisco Unified Communications Manager Session Management Edition; >=12.5, <15SU3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N/E:X/RL:X/RC:X
Viac informácií:
- CVE-2025-20361 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 10. 2025.
Odkazy
- [1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cv-xss-rwRAKAJ9
- [2] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-stored-xss-Fnj66YLy
- [3] https://sec.cloudapps.cisco.com/security/center/softwarechecker.x
- [4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snmp-x4LPhte
- [5] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cat9k-PtmD7bgy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 2. 10. 2025.