Cisco IP Phone 漏洞更新

关键要点

在周三，Cisco 对其四个系列的 Cisco IP Phone 的基于 Web 的管理接口发布了两项漏洞更新。

其中更为严重的漏洞是一个命令注入漏洞 CVE202320078，评级为关键，CVSS 分数为 98，影响了 Cisco IP Phone 6800、7800 和 8800 系列多平台电话。Cisco 表示，该漏洞可能导致未身份验证的远程攻击者注入任意命令，并以根权限执行，实际上是一种远程代码执行RCE攻击。

CVE202320078 是由于对用户输入的验证不足所造成的 web 用户界面漏洞。Cisco 说明，攻击者可以通过向基于 Web 的管理接口发送特制请求来利用此漏洞。如果成功利用，攻击者就能够在受影响设备的底层操作系统上执行任意命令。

另一个漏洞是 CVE202320079，评级为高危，CVSS 分数为 75。它影响了 Cisco IP Phone 6800、7800 和 8800 系列多平台电话，以及 Cisco Unified IP Conference Phone 8831 和 Unified IP Phone 7900 系列电话。

Cisco 表示，该漏洞可能导致未身份验证的远程攻击者使受影响设备重新加载，从而造成 拒绝服务DoS攻击。该漏洞同样由一个用户界面漏洞引起。攻击者可以通过向基于 Web 的管理接口发送特制请求来利用此漏洞。

Cisco 已发布更新以解决这两个漏洞，目前没有应急措施。该厂商提到，其持有服务合同的客户可通过常规更新渠道获取安全修复。客户仅可安装并期望支持他们所购买许可的软件版本和功能集。