BDU:2015-00128

Средний

BDU:2015-00128: Уязвимость программного обеспечения Cisco Unified Communications Manager, позволяющая злоумышленнику перехватить сессию

CVSS v24.3

Описание

Уязвимость существует в OpenSSL из-за некорректного ограничения обработки сообщений ChangeCipherSpec. Эксплуатация данной уязвимости позволяет злоумышленнику, действующему по принципу "человек посередине", спровоцировать использование пустого (нулевой длины) мастер-ключа в передаче данных OpenSSL-to-OpenSSL с последующим перехватом сессии или получением доступа к конфиденциальной информации при помощи специально сформированного TLS-квитирования (handshake). Данная уязвимость также известна под названием "Внедрение CCS".

Что делать с BDU:2015-00128

Уязвимость среднего уровня (CVSS 4.3) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

4.3

Только просмотр

AV:N/AC:M/Au:N/C:N/I:P/A:N

CWE — тип уязвимости

CWE-326

CVE — международный идентификатор

Тактики и техники

Вероятностные методы

Уязвимое ПО (3)

Вендор	Название	Версия	Платформа
Cisco Systems Inc.	Микропрограммное обеспечение системы коммуникаций Cisco Unified Communications Manager	от 10.0 до 10.5.1.95000	Не указана
Cisco Systems Inc.	Микропрограммное обеспечение системы коммуникаций Cisco Unified Communications Manager	от 8.0 до 8.6.2.25900	Не указана
Cisco Systems Inc.	Микропрограммное обеспечение системы коммуникаций Cisco Unified Communications Manager	от 9.0 до 9.1.2.12901	Не указана

Источники (1)

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0224 CISCO (CSCup28056) …

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 4.3

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации93.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

Опубликована

2016-07-06

Обновлена

2016-11-28

Эксплойт

Данные уточняются

Исправление

Информация об устранении отсутствует

Статус

Потенциальная уязвимость

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2014-0224 MITRE: CWE-326 Каталог CPE (ФСТЭК)