Encuentran diversas vulnerabilidades en Cisco Unified Communications Manager

^*

La primera vulnerabilidad está causada por un fallo en el servicio Computer Telephony Integration (CTI) de las versiones 5.x y 6.x de CUCM al manejar entradas mal formadas, lo que podría causar una denegación de servicio.

* La segunda vulnerabilidad está causada por un fallo en el servicio Real-Time Information Server (RIS) Data Collector de las versiones 4.x, 5.x y 6.x de CUCM que podría permitir un salto de restricciones de seguridad y la revelación de información sensible de clusters CUCM. Conectándose directamente al puerto de escucha del proceso RIS Data Collector (TCP 2556) sería posible saltarse la autenticación y conseguir acceso de lectura a información sobre un cluster CUCM. Esta información podría incluir estadísticas, nombres de usuario y teléfonos IP configurados, pero no incluiría contraseñas u otra información sensible acerca de la configuración de CUCM.

Las vulnerabilidades afectan a los siguientes dispositivos Cisco:
Cisco Unified CallManager versiones 4.1
Cisco Unified Communications Manager 4.2 con versiones anteriores a la 4.2 SR4
Cisco Unified Communications Manager 4.3 con versiones anteriores a la 4.3 SR1
Cisco Unified Communications Manager 5.x con versiones anteriores a la 5.1
Cisco Unified Communications Manager 6.x con versiones anteriores a la 6.1

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes soluciones para solventar el problema. Se aconseja consultar la tabla de versiones vulnerables y contramedidas en:
www.cisco.com/warp/public/707/cisco-sa-20080625-cucm.shtml