Vulnerabilidades en Cisco CallManager y Cisco Unified Communications Manager

Se ha descubierto una vulnerabilidad en Cisco CallManager y Unified Communications Manager que podría ser aprovechada por un atacante para realizar ataques por cross site scripting e inyectar código SQL.



Esta vulnerabilidad se debe a un fallo en la variable lang de las páginas de inicio de sesión de admin y user. Un atacante podría aprovechar esto para ejecutar código JavaScript en el navegador de los sistemas que accedieran a Cisco CallManager y Unified Communications Manager.

Se ven afectadas las versiones Cisco CallManager 3.3, Cisco CallManager 4.x y Cisco Unified Communications Manager 4.x.

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema.

Se aconseja consultar la tabla de versiones vulnerables y contramedidas en:
http://www.cisco.com/warp/public/707/cisco-sa-20070829-ccm.shtml

Más Información:

Cisco Security Advisory: XSS and SQL Injection in Cisco CallManager/Unified Communications Manager Logon Page
http://www.cisco.com/warp/public/707/cisco-sa-20070829-ccm.shtml