CVE-2020-3161| Cisco IP Phones远程代码执行缝隙公告
颁布功夫 2020-04-210x00 缝隙概述
0x01 缝隙详情
4月15日 ，思科颁布安全布告 ，称其 IP 电话的 web 服务器中存在一个严沉缺点 ，可导致未经身份验证的远程攻击者以 root 权限执行代码或发起回绝服务攻击。该缝隙影响用于中幼企业的多个思科 IP 电话版本 ，CVSS评分9.8。
该缝隙是由于不足对HTTP要求的正确输入验证所致。 攻击者将一个特殊机关的 HTTP 要求发送到 /deviceconfig/setActivationCode端点（在指标设备的 web 服务器上） ，在 libHTTPService.so 中 ，/deviceconfig/setActivationCode 之后的参数用于通过一个 sprint 函数挪用创建新的 URI ，该参数字符串的长度并未得到查抄。成功利用此缝隙使攻击者可能以root权限远程执行代码 ，或导致沉新加载受影响的IP电话 ，导致回绝服务。
EXP: https://cxsecurity.com/issue/WLB-2020040100
0x02 措置建议
升级补丁 ，下载链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voip-phones-rce-dos-rB6EeRXs
一时措施：禁用 IP 电话上的 web 接见权限。
默认情况下 ，Web接见是禁用的。 治理员能够通过以下步骤从Cisco Unified Communications Manager中查抄Web接见配置：选择Device > Phone > Select a Phone ，而后查抄Web 接见是否设置为“启用”或“禁用”。 若是将其设置为“禁用” ，则IP电话不会受到攻击。
0x03 有关新闻
https://threatpost.com/critical-cisco-ip-phone-rce-flaw/154864/
0x04 参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voip-phones-rce-dos-rB6EeRXs
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202004-1099
0x05 功夫线
2020-04-15 Cisco颁布布告
2020-04-15 CVE颁布该缝隙
京公网安备11010802024551号