Várias vulnerabilidades do Cisco Unified CCX permitem execução arbitrária de comandos por invasores

Várias vulnerabilidades do Cisco Unified CCX permitem execução arbitrária de comandos por invasores

A Cisco divulgou vulnerabilidades críticas de segurança que afetam o Cisco Unified Contact Center Express (Unified CCX) que podem permitir que invasores remotos não autenticados executem comandos arbitrários, aumentem privilégios para root e ignorem mecanismos de autenticação.

As vulnerabilidades residem no processo Java Remote Method Invocation (RMI) e no aplicativo CCX Editor, apresentando riscos graves para implantações de contact centers corporativos.

Duas vulnerabilidades críticas foram identificadas nos sistemas Cisco Unified CCX. A primeira vulnerabilidade, CVE-2025-20354é uma vulnerabilidade de execução remota de código no processo Java RMI com uma pontuação base CVSS de 9,8.

Esta vulnerabilidade permite que invasores não autenticados carreguem arquivos arbitrários por meio do processo Java RMI, explorando mecanismos de autenticação inadequados.

A exploração bem-sucedida permite que invasores executem comandos arbitrários no sistema operacional subjacente e elevem privilégios para root, fornecendo recursos completos de comprometimento do sistema.

A segunda vulnerabilidade, CVE-2025-20358, é uma desvio de autenticação vulnerabilidade no aplicativo CCX Editor com uma pontuação base CVSS de 9,4.

Esta vulnerabilidade permite que invasores ignorem a autenticação e obtenham permissões administrativas relacionadas à criação e execução de scripts.

A vulnerabilidade decorre de mecanismos de autenticação inadequados nas comunicações entre o CCX Editor e os servidores Unified CCX afetados.

Os invasores podem explorar isso redirecionando o fluxo de autenticação para um servidor malicioso, enganando o CCX Editor para que reconheça a autenticação fraudulenta. A exploração bem-sucedida permite que invasores criem e executem scripts arbitrários no sistema afetado como uma conta de usuário interna não root.

Escopo do Impacto

As vulnerabilidades afetam Cisco unificado Sistemas CCX independentemente da configuração do dispositivo. A Cisco confirmou que o Packaged Contact Center Enterprise (Packaged CCE) e o Unified Contact Center Enterprise (Unified CCE) não são vulneráveis ​​a esses problemas.

Ambas as vulnerabilidades são independentes uma da outra, o que significa que os invasores não precisam encadear explorações para obter acesso.

A Cisco lançou atualizações de software abordando ambas as vulnerabilidades, sem soluções alternativas disponíveis. As organizações devem priorizar a atualização para versões corrigidas imediatamente.

Para o Unified CCX versão 12.5, os sistemas afetados devem atualizar para a versão 12.5 SU3 ES07 ou posterior. Para o Unified CCX versão 15.0, a correção está disponível na versão 15.0 ES01 e versões subsequentes.

Dada a natureza crítica destas vulnerabilidades e a completa ausência de soluções alternativas, a Cisco recomenda fortemente a aplicação imediata de patches em todos os sistemas afetados.

Os sistemas que executam versões anteriores a 12.5 SU3 ou 15.0 devem ser considerados riscos comprometidos em seu estado atual.

Até o momento, a Equipe de Resposta a Incidentes de Segurança de Produtos (PSIRT) da Cisco não relata nenhuma evidência de anúncios públicos ou exploração maliciosa ativa dessas vulnerabilidades.

No entanto, a facilidade de exploração (exigindo apenas acesso à rede e sem autenticação), combinada com as graves consequências (execução remota de código como root), sugere que essas vulnerabilidades provavelmente atrairão a atenção dos atores da ameaça quando os prazos de adoção do patch se estenderem.

As organizações que operam o Cisco Unified CCX devem verificar imediatamente suas versões atuais de software em relação aos detalhes da vulnerabilidade e aplicar os patches apropriados.

Os administradores de sistema devem priorizar a correção de sistemas que enfrentam exposição na Internet. Além disso, a segmentação da rede e os controles de acesso que limitam as comunicações RMI a redes confiáveis ​​fornecem medidas defensivas temporárias até que os patches sejam implantados.

Dadas as pontuações críticas do CVSS e o potencial de comprometimento total que essas vulnerabilidades apresentam, é necessária uma ação urgente em todas as implantações afetadas.

Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.