S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 10 juin 2010 No CERTA-2010-AVI-256

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Cisco Unified Contact Center Express

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• Cisco UCCX 5.x, 6.x et 7.x ;
• Cisco Customer Response Solution (CRS) 5.x, 6.x et 7.x ;
• Cisco Unified IP Interactive Voice Response (Cisco Unified IP IVR) 5.x, 6.x et 7.x.

3 Résumé

Deux vulnérabilités découvertes dans Cisco Unified Contact Center Express permettent à un utilisateur distant de provoquer un déni de service ou de porter atteinte à la confidentialité des données.

4 Description

Une vulnérabilité causée par une erreur de traitement dans le composant Computer Telephony Integration peut être exploitée afin de provoquer un déni de service au moyen d'un message spécialement formé (CVE-2010-1570).

Une vulnérabilité de type ``traversée d'arborescence de répertoires'' dans le service bootstrap de Cisco UCCX permet à un utilisateur distant malintentionné de porter atteinte à la confidentialité des données (CVE-2010-1571).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Cisco 20100609-uccx du 09 juin 2010 :

  http://www.cisco.com/warp/public/707/cisco-sa-20100609-uccx.shtml
  

• Référence CVE CVE-2010-1570 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1570
  

• Référence CVE CVE-2010-1571 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1571
  

Gestion détaillée du document

10 juin 2010

version initiale.