Cisco, Toplantı Yönetimi REST API’sindeki ayrıcalık yükseltme güvenlik açığıyla ilgili kritik bir öneri yayınladı.
CVE-2025-20156 olarak izlenen kusur, düşük ayrıcalıklara sahip, kimliği doğrulanmış uzak bir saldırganın, etkilenen cihazlar üzerinde yönetici düzeyindeki kontrole erişimlerini yükseltmesine olanak tanıyarak, etkilenen sistemler için önemli bir tehdit oluşturuyor.
Güvenlik Açığı Ayrıntıları
Güvenlik açığı, REST API’deki yetkilendirmenin uygunsuz şekilde uygulanmasından kaynaklanmaktadır.
Saldırganlar, bu güvenlik açığından yararlanarak belirli bir uç noktaya özel hazırlanmış API istekleri gönderebilir ve potansiyel olarak Cisco Meeting Management tarafından yönetilen uç düğümler üzerinde yetkisiz yönetim kontrolü elde edebilir.
Bu güvenlik açığına, kritikliğini belirten 9,9 CVSS Puanı atanmıştır.
Investigate Real-World Malicious Links & Phishing Attacks With Threat Intelligence Lookup - Try for Free
Cisco’nun güvenlik ekibi, tüm müşterilerin olası suiistimalleri önlemek için derhal harekete geçmesini istedi. Tavsiye belgesi cisco-sa-cmm-privesc-uy2Vf8pc kimliği altında yayınlanmaktadır.
Etkilenen Ürünler
Güvenlik açığı, Cisco Meeting Management’ın 3.9.1 sürümünden önceki tüm sürümlerini etkilemektedir. Etkilenen sürümlerin dökümü aşağıdaki gibidir:
- Cisco Meeting Management 3.8 ve önceki sürümler: Savunmasız. Kullanıcıların sabit bir sürüme geçmesi gerekir.
- Cisco Meeting Management 3.9: Güvenlik açığı var ancak 3.9.1 sürümünde düzeltildi.
- Cisco Meeting Management 3.10: Etkilenmez.
Cisco, yalnızca danışma belgesinde açıkça listelenen ürünlerin etkilendiğini açıkladı.
Danışma belgesi, bu güvenlik açığını azaltacak hiçbir geçici çözümün bulunmadığını doğruladı. Müşterilere tek çözüm olarak sabit yazılıma yükseltme yapmaları tavsiye edilir.
Cisco, bu güvenlik açığını gidermek amacıyla uygun müşteriler için ücretsiz güvenlik güncellemeleri yayınladı. Geçerli hizmet sözleşmeleri veya lisansları olan kullanıcılar, sabit yazılıma her zamanki güncelleme kanallarından erişebilirler.
Sabit sürümler, etkilenen Cisco Meeting Management kurulumları için 3.9.1 sürümünü içerir. Müşteriler, sistemlerinin güvenliğini ve kararlılığını sağlamak için yükseltme yapmadan önce donanım ve yazılım uyumluluğunu doğrulamalıdır.
Cisco Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), bu güvenlik açığının kamuya açık herhangi bir istismarını veya kötü niyetli kullanımını gözlemlememiştir. Bununla birlikte, kullanıcıların sistemlerini güvence altına almak için önleyici davranmaları şiddetle tavsiye edilir.
Cisco, etkilenen tüm müşterilere gerekli güncellemeleri derhal gerçekleştirmelerini tavsiye ediyor. Hizmet sözleşmesi olmayanlar veya güncellemelere normal kanallardan erişemeyenler, destek için Cisco Teknik Yardım Merkezi (TAC) ile iletişime geçebilir.
Bu kritik güvenlik açığı, güvenlik risklerini azaltmak için uyanık kalmanın ve güncellemeleri hemen uygulamanın önemini vurguluyor.
Jenkins & Jira’yı Kullanarak Uygulama Güvenliğini CI/CD İş Akışlarınıza Entegre Etme -> Ücretsiz Web Semineri