Cisco IP 和视频电话多个漏洞（cisco-sa-ipphone-multi-vulns-cXAhCvS）

high Nessus 插件 ID 327615

语言：

简介

远程设备缺少供应商提供的安全补丁。

描述

根据其自我报告的版本，运行 SIP 软件的远程 Cisco IP 或可视电话受到多种漏洞的影响：

- Cisco IP Phone 固件基于 Web 的管理界面中存在漏洞，允许未经认证的远程攻击者造成受影响设备重新加载，进而导致 DoS 情况。此漏洞是未充分验证用户提供的输入所致。攻击者可通过向受影响设备的基于 Web 的管理界面发送构建的请求来利用此漏洞。若成功利用此漏洞，攻击者即可使受影响设备重新加载。（CVE-2024-20376）

- Cisco IP Phone 固件基于 Web 的管理界面中存在漏洞，允许未经身份验证的远程攻击者从受影响的设备检索敏感信息。此漏洞是因为受影响设备上 web 式管理界面的特定端点缺少验证所致。攻击者可通过连接至受影响的设备来利用此漏洞。若成功利用，攻击者即可在未经授权的情况下访问设备，记录用户凭证和进出受影响设备的流量，包括可重放的 VoIP 调用。（CVE-2024-20378）

- Cisco IP Phone 固件的 XML 服务中存在漏洞，允许未经认证的远程攻击者在受影响的设备上发起电话呼叫。存在此漏洞的原因是解析 XML 请求时未进行边界检查。攻击者可通过将特制 XML 请求发送到受影响的设备来利用此漏洞。若成功利用此漏洞，攻击者可在设备上发起调用或播放声音。（CVE-2024-20357）

请参阅随附的 Cisco BID 和 Cisco 安全公告，了解更多信息。