Cisco a publi\u00e9 des mises \u00e0 jour logicielles pour corriger une faille de s\u00e9curit\u00e9 critique affectant Unity Connection et qui pourrait permettre \u00e0 un adversaire d’ex\u00e9cuter des commandes arbitraires sur le syst\u00e8me sous-jacent.<\/p>\n
Suivi comme CVE-2024-20272<\/strong> (score CVSS : 7,3), la vuln\u00e9rabilit\u00e9 est un bug de t\u00e9l\u00e9chargement de fichiers arbitraire r\u00e9sidant dans l’interface de gestion Web et est le r\u00e9sultat d’un manque d’authentification dans une API sp\u00e9cifique et d’une validation inappropri\u00e9e des donn\u00e9es fournies par l’utilisateur.<\/p>\n “Un attaquant pourrait exploiter cette vuln\u00e9rabilit\u00e9 en t\u00e9l\u00e9chargeant des fichiers arbitraires sur un syst\u00e8me affect\u00e9”, a d\u00e9clar\u00e9 Cisco. dit<\/a> dans un avis publi\u00e9 mercredi. “Un exploit r\u00e9ussi pourrait permettre \u00e0 l’attaquant de stocker des fichiers malveillants sur le syst\u00e8me, d’ex\u00e9cuter des commandes arbitraires sur le syst\u00e8me d’exploitation et d’\u00e9lever les privil\u00e8ges au niveau root.”<\/p>\n La faille affecte les versions suivantes de Cisco Unity Connection. La version 15 n’est pas vuln\u00e9rable.<\/p>\n Le chercheur en s\u00e9curit\u00e9 Maxim Suslov a \u00e9t\u00e9 reconnu pour avoir d\u00e9couvert et signal\u00e9 la faille. Cisco ne fait aucune mention du bug exploit\u00e9 dans la nature, mais il est conseill\u00e9 aux utilisateurs de mettre \u00e0 jour vers une version corrig\u00e9e pour att\u00e9nuer les menaces potentielles.<\/p>\n Parall\u00e8lement au correctif pour CVE-2024-20272, Cisco a \u00e9galement fourni des mises \u00e0 jour pour r\u00e9soudre 11 vuln\u00e9rabilit\u00e9s de gravit\u00e9 moyenne couvrant ses logiciels, notamment Identity Services Engine, le point d’acc\u00e8s sans fil WAP371, ThousandEyes Enterprise Agent et TelePresence Management Suite (TMS).<\/p>\n Cisco a toutefois indiqu\u00e9 qu’il n’avait pas l’intention de publier un correctif pour le bogue d’injection de commandes dans WAP371 (CVE-2024-20287<\/a>score CVSS : 6,5), indiquant que l’appareil a atteint la fin de vie (EoL) en juin 2019. Il recommande plut\u00f4t aux clients de migrer vers le point d’acc\u00e8s Cisco Business 240AC.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Cisco-corrige-une-vulnerabilite-a-haut-risque-affectant-le-logiciel.jpg\")
<\/a><\/center><\/div>\n\n