S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 mars 2009
N° CERTA-2009-AVI-095
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Cisco Unified Communications Manager

Gestion du document

Référence CERTA-2009-AVI-095
Titre Vulnérabilité dans Cisco Unified Communications Manager
Date de la première version16 mars 2009
Date de la dernière version16 mars 2009
Source(s) Bulletin de sécurité cisco-sa-20090311-cucmpab du 11 mars 2009
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité

Systèmes affectés

  • Cisco Unified CallManager versions 4.1 ;
  • Cisco Unified Communications Manager versions 4.2 antérieures à 4.2(3)SR4b ;
  • Cisco Unified Communications Manager versions 4.3 antérieures à 4.3(2)SR1b ;
  • Cisco Unified Communications Manager versions 5.x antérieures à 5.1(3e) ;
  • Cisco Unified Communications Manager versions 6.x antérieures à 6.1(3) ;
  • Cisco Unified Communications Manager versions 7.0 antérieures à 7.0(2).

Résumé

Une vulnérabilité dans Cisco Unified Communications Manager permet d'accéder à un compte d'administration de l'application.

Description

Une vulnérabilité a été découverte dans le mécanisme de synchronisation des carnets d'adresses (Personal Address Book - PAB) dans Cisco Unified Communications Manager (autrefois appelé CallManager). Lorsqu'un client de synchronisation PAB s'authentifie auprès d'un serveur Cisco Unified Communications Manager (via une connexion HTTPS), des identifiants d'un compte d'administration sont renvoyés « en clair ». Un attaquant peut intercepter ces identifiants.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 mars 2009
    version initiale.