Escalada de privilegios a través de interfaz HTTP de Cisco Unity Express 2.X
Se ha anunciado la existencia de una vulnerabilidad en Cisco Unity Express que puede permitir a usuarios remotos autenticados elevar sus privilegios el los sistemas afectados.
La interfaz HTTP de manejo de un módulo CUE (Cisco Unity Express) permite a usuarios autenticados modificar su contraseña. Esta vulnerabilidad permite a cualquiera al que le haya caducado al contraseña, modificarla. Si la contraseña de administrador ha caducado, puede ser modificada por un usuario autenticado, permitiendo a un usuario no privilegiado tomar completo control del módulo CUE.
Cualquier módulo CUE Advanced Integration Module (AIM) o Network Module (NM) que ejecute software CUE con versiones anteriores a la 2.3(1) se ve afectado por esta vulnerabilidad.
Es posible mitigar esta vulnerabilidad restringiendo el acceso a la interfaz HTTP. Cisco ha puesto a disposición de sus clientes software para solventar el fallo a través de http://www.cisco.com/en/US/products/products_security_advisory09186a0080678deb.shtml