BDU:2025-10344

Средний

BDU:2025-10344: Уязвимость веб-интерфейса управлениясистем обработки вызовов Cisco Unified Communications, связанная с непринятием мер по чистке данных на управляющем уровне, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код

CVSS v36.0

CVSS v26.2

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость веб-интерфейса управлениясистем обработки вызовов Cisco Unified Communications связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и выполнить произвольный код

Что делать с BDU:2025-10344

Уязвимость среднего уровня (CVSS 6.0) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

6.0Средний

Пересчитать →

6.2

Только просмотр

AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:NAV:L/AC:L/Au:S/C:C/I:C/A:N

CWE — тип уязвимости

CWE-77

CVE — международный идентификатор

CVE-2025-20278

CISCO-SA-vos-command-inject-65s2UCYy

CWE-77

Внедрение команд

CWE-77 — внедрение команд: данные извне не обезвреживаются перед подстановкой в чужую команду. Ошибка возникает, когда строка из аргументов, формы или переменной окружения дописывается к вызову служебной команды: команд ОС или языка команд приложения. Злоумышленник подменяет команду и получает выполнение произвольных операций: чтение файлов, запуск программ, изменение данных.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду без экранирования. Метасимволы (;, |, &&) позволяют выполнить вторую команду.

Последствия

Выполнение произвольных команд ОС на сервере.

Рекомендации

Используйте API вместо shell, экранируйте аргументы, применяйте white-list символов.

Тактики и техники

Инъекция

Уязвимое ПО (11)

Вендор	Название	Версия	Платформа
Cisco Systems, Inc.	Cisco Unified Contact Center Express	до 15.0 включительно	Не указана
Cisco Systems, Inc.	Customer Collaboration Platform	до 15.0 включительно	Не указана
Cisco Systems, Inc.	Cisco Finesse	до 12.6 включительно	Не указана
Cisco Systems, Inc.	Cisco Finesse	15.0	Не указана
Cisco Systems, Inc.	Cisco Unified Communications Manager	до 15.0 включительно	Не указана
Cisco Systems, Inc.	Unified Communications Manager IM and Presence Service	до 15.0 включительно	Не указана
Cisco Systems, Inc.	Unified Intelligence Center	до 12.6 включительно	Не указана
Cisco Systems, Inc.	Unified Intelligence Center	15.0	Не указана
Cisco Systems, Inc.	Unity Connection	до 15.0 включительно	Не указана
Cisco Systems, Inc.	Cisco Virtualized Voice Browser	до 12.6 включительно	Не указана
Cisco Systems, Inc.	Cisco Virtualized Voice Browser	15.0	Не указана

Источники (1)

https://nvd.nist.gov/vuln/detail/CVE-2025-20278 https://sec.cloudapps.cisco.com…

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 6.0

Уточните SLA под вашу среду

Базовый балл 6.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2025-06-04

Опубликована

2025-08-27

Обновлена

2025-08-27

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2025-20278 MITRE: CWE-77 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК