Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-180

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2008-AVI-180
Titre	Vulnérabilité de certains produits Cisco
Date de la première version	04 avril 2008
Date de la dernière version	-
Source(s)	Bulletin de sécurité CISCO (cisco-sa-20080403-drf) du 03 avril 2008
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance ;
déni de service à distance ;
contournement de la politique de sécurité ;
atteinte à l'intégrité des données ;
atteinte à la confidentialité des données.

2 Systèmes affectés

Cisco Unified Communications Manager (CUCM) 5.x et 6.x ;
Cisco Unified Communications Manager Business Edition ;
Cisco Unified Precense 1.x et 6.x ;
Cisco Emergency Responder 2.x ;
Cisco Mobility Manager 2.x.

3 Résumé

Une vulnérabilité a été découverte dans certains produits Cisco. Cette vulnérabilité permet des actions diverses, dont l'exécution de code arbitraire à distance.

4 Description

Une vulnérabilité a été découverte au niveau de l'option Disaster Recovery Framework (DRF) de la famille de produit Cisco Unified Communications. L'exploitation de cette vulnérabilité par un utilisateur distant non authentifié permet d'exécuter des commandes aribitraires conduisant à l'obtention des droits d'administrateur sur l'équipement.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Bulletin de sécurité Cisco 20080403-drf du 03 avril 2008 :
```
http://www.cisco.com/warp/public/707/cisco-sa-20080403-drf.shtml
```

Référence CVE CVE-2008-1154 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1154

Gestion détaillée du document

04 avril 2008: version initiale.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 25/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques