cisco enterprise_chat_and_email 认证机制不恰当

CVE编号

CVE-2019-1877

利用情况

暂无

补丁情况

N/A

披露时间

2019-11-06

漏洞描述

Cisco Enterprise Chat and Email（CEC）是Cisco的一套企业聊天和电子邮件解决方案。该产品主要为其它Cisco解决方案提供电子邮件、聊天和Web回调功能等。
Cisco Enterprise Chat and Email的HTTP API存在附件下载漏洞。该漏洞源于API的文件下载功能的认证机制不足。远程未认证攻击者可通过向API发送特制请求利用该漏洞下载其他用户通过聊天功能附加的文件。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://www.cisco.com/c/en/us/support/customer-collaboration/enterprise-chat-email-11-5-1/model.html

参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	cisco	enterprise_chat_and_email	11.6(1)es9	-

CVSS3评分 6.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CWE-ID 漏洞类型 CWE-287 认证机制不恰当