BDU:2015-00128

Средний

BDU:2015-00128: Уязвимость программного обеспечения Cisco Unified Communications Manager, позволяющая злоумышленнику перехватить сессию

CVSS v24.3

Описание

Уязвимость существует в OpenSSL из-за некорректного ограничения обработки сообщений ChangeCipherSpec. Эксплуатация данной уязвимости позволяет злоумышленнику, действующему по принципу "человек посередине", спровоцировать использование пустого (нулевой длины) мастер-ключа в передаче данных OpenSSL-to-OpenSSL с последующим перехватом сессии или получением доступа к конфиденциальной информации при помощи специально сформированного TLS-квитирования (handshake). Данная уязвимость также известна под названием "Внедрение CCS".

Что делать с BDU:2015-00128

Уязвимость среднего уровня (CVSS 4.3) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

4.3

Только просмотр

AV:N/AC:M/Au:N/C:N/I:P/A:N

CWE — тип уязвимости

CWE-326

CVE — международный идентификатор

Тактики и техники

Вероятностные методы

Уязвимое ПО (3)

Вендор	Название	Версия	Платформа
Cisco Systems, Inc.	Микропрограммное обеспечение системы коммуникаций Cisco Unified Communications Manager	от 10.0 до 10.5.1.95000	Не указана
Cisco Systems, Inc.	Микропрограммное обеспечение системы коммуникаций Cisco Unified Communications Manager	от 8.0 до 8.6.2.25900	Не указана
Cisco Systems, Inc.	Микропрограммное обеспечение системы коммуникаций Cisco Unified Communications Manager	от 9.0 до 9.1.2.12901	Не указана

Источники (1)

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0224 CISCO (CSCup28056) …

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 4.3

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации95.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

Опубликована

2016-07-06

Обновлена

2016-11-28

Эксплойт

Данные уточняются

Исправление

Информация об устранении отсутствует

Статус

Потенциальная уязвимость

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно