CVSS-Score 9.9: Cisco behebt kritische Privilegieneskalationsanfälligkeit in der Meeting-Management-Software

Cisco, der größte Anbieter von Netzwerkausrüstung der Welt, veröffentlichte am Mittwoch ein Sicherheitsupdate, um eine kritische Privilegieneskalationsanfälligkeit in der REST-API von Cisco Meeting Management zu beheben.

Die kritische Anfälligkeit, die als CVE-2025-20156 verfolgt wird, wurde mit 9,9 von 10 im Common Vulnerability Scoring System (CVSS) bewertet. Diese Privilegieneskalationsanfälligkeit könnte, wenn sie ausgenutzt wird, einem entfernten, authentifizierten Angreifer mit niedrigen Rechten ermöglichen, die Privilegien auf Administrator auf einem betroffenen Gerät zu erhöhen, was ein erhebliches Risiko für Organisationen darstellt.

„Diese Anfälligkeit besteht, weil die ordnungsgemäße Autorisierung bei REST-API-Benutzern nicht durchgesetzt wird. Ein Angreifer könnte diese Anfälligkeit ausnutzen, indem er API-Anfragen an einen bestimmten Endpunkt sendet“, sagte das Unternehmen in einer Mitteilung am Mittwoch.

Cisco dankte auch Ben Leonard-Lagarde von Modux für die Meldung dieser Anfälligkeit.

Die folgenden Versionen von Cisco Meeting Management sind unabhängig von der Gerätekonfiguration von der Anfälligkeit betroffen, für die Cisco Software-Updates veröffentlicht hat.

• Cisco Meeting Management 3.8 und früher: Benutzern wird empfohlen, auf eine korrigierte Version wie 3.9.1 zu migrieren.

• Cisco Meeting Management 3.9: In 3.9.1 gepatcht

• Cisco Meeting Management 3.10: Diese Version ist nicht betroffen und benötigt keine Updates.

Zum Zeitpunkt der Veröffentlichung der Mitteilung sagte das Cisco Product Security Incident Response Team (PSIRT), dass es sich nicht bewusst ist, dass es öffentliche Ankündigungen oder böswillige Nutzung der Anfälligkeit gibt, da sie bisher keine Beweise dafür gefunden haben, dass der Fehler aktiv ausgenutzt wird.

Leider gibt es keine Umgehungsmöglichkeiten, um diese Anfälligkeit zu mindern. Der einzige Weg, dieses Problem zu beheben, besteht darin, die erforderlichen Software-Updates anzuwenden.

Cisco hat die Benutzer aufgefordert, die verfügbaren Patches sofort anzuwenden, um das Risiko zu mindern. Kunden mit Serviceverträgen, die ihnen regelmäßige Software-Updates ermöglichen, sollten Sicherheitsfixes über ihre üblichen Update-Kanäle beziehen.

Für diejenigen, die keine Serviceverträge haben, können sie das Technical Assistance Center (TAC) kontaktieren, um Hilfe beim Erhalt der erforderlichen Upgrades zu erhalten.

Darüber hinaus hat das Unternehmen bestätigt, dass nur die in der Rubrik „Betroffene Produkte“ der Mitteilung aufgeführten Produkte betroffen sind. Cisco rät den Benutzern auch, die Hardware- und Softwarekompatibilität vor einem Upgrade zu überprüfen, um die Sicherheit und Stabilität ihrer Systeme zu gewährleisten.