Dana 10. siječnja 2024. godine, tvrtka Cisco je objavila sigurnosno ažuriranje za kritičnu ranjivosti u Unity Connection platformi. Ranjivost identificirana kao CVE-2024-20272 (CVSS ocjena 7,3) omogućuje neautentificiranom udaljenom napadaču učitavanje proizvoljnih datoteka te izvršavanje proizvoljnih naredbi na operativnom sustavu ranjive platforme.

Tehnički detalji ključne ranjivosti otklonjene ovim ažuriranjem:

Ranjivost proizlazi iz nedostatka autentifikacije u određenom aplikacijskom programskom sučelju (engl. Application Programming Interface - API) i neispravne provjere podataka koje unosi korisnik. Napadač može iskoristiti ranjivost učitavanjem proizvoljnih datoteka na ranjivi sustav, a uspješna eksploatacija omogućava napadaču pohranu zlonamjernih datoteka na sustav, izvođenje proizvoljnih naredbi na operativnom sustavu i eskalaciju privilegija do sistemske razine – root.

Zahvaćeni proizvodi:

 

  

Verzije poznate kao ranjive	Ispravljeno u verziji
sve verzije 12.5 i ranije	12.5.1.19017-4
sve verzije 14	14.0.1.14006-5

• https://www.bleepingcomputer.com/news/security/cisco-says-critical-unity-connection-bug-lets-attackers-get-root/
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cuc-unauth-afu-FROYsCsD#fs