外媒報導，思科近期發佈安全修補以解決了影響 Unified Communications 及Contact Center 解決方案產品的關鍵安全漏洞，該漏洞可能允許未經認證的遠端威脅攻擊者在受影響的設備上執行任意程式碼。
此安全漏洞被跟蹤為 CVE-2024-20253（CVSS 得分：9.9）。據悉，漏洞主要源於對使用者提供的資料不當處理，威脅攻擊者能夠濫用這些資料向受影響設備的監聽埠發送特製資訊。
思科在一份公告中表示，一旦威脅攻擊者成功利用 CVE-2024-20253漏洞，即可提供網路服務使用者的許可權在底層作業系統上執行任意命令，透過訪問底層作業系統，威脅攻擊者還可以在受影響的設備上建立 root 存取權限。受該漏洞影響的產品包括：
- Unified Communications Manager：版本11.5, 12.5(1), and 14)
- Unified Communications Manager IM & Presence Service：版本11.5(1), 12.5(1), and 14
- Unified Communications Manager Session Management Edition：版本11.5, 12.5(1), and 14
- Unified Contact Center Express：版本12.0 and earlier and 12.5(1)
- Unity Connection：版本11.5(1), 12.5(1), and 14),
- Virtualized Voice Browser：早於並包含版本12.0, 12.5(1), and 12.5(2))
值得一提的是，目前尚沒有解決 CVE-2024-20253漏洞的具體方法，但思科方面敦促用戶儘快設置存取控制清單，最大程度限制無法立即應用安全更新的訪問。
此外，思科方面也建議用戶在思科Unified Communications 或Contact Center解決方案集群中，分開使用者和網路其他部分的中繼裝置上建立存取控制清單（ACL），只允許訪問已部署服務的連接埠。
思科近期屢屢曝出安全性漏洞問題，幾周前，思科才發佈了針對影響 Unity Connection 的重大安全漏洞（CVE-2024-20272，CVSS 得分：7.3）的更新修復程式。
本文轉載自TheHackerNews。