اخیراً در رابط برنامه‌نویسی کاربردی (REST API) سیستم مدیریت جلسات Cisco، آسیب‌پذیری بحرانی با شناسه‌ی CVE-2025-20156 و شدت 9.9 شناسایی شده است. این آسیب‌پذیری به مهاجمانی که با سطح دسترسی پایین احراز هویت شده باشند، امکان ارتقای سطح دسترسی به مدیر را فراهم می‌کند. این نقص امنیتی به دلیل عدم اجرای صحیح مجوزدهی به کاربران REST API رخ داده است و مهاجم می‌تواند با بهره‌گیری از آن، اطلاعات حساس جلسات، کاربران و داده‌های ذخیره‌شده در سیستم را مشاهده و استخراج کند.
جزئیات آسیب‌پذیری
نقاط انتهایی آسیب‌پذیر که دسترسی به آن‌ها باید به کاربران خاص محدود شود، در حال حاضر در دسترس کاربران با سطح دسترسی پایین قرار دارند. این آسیب‌پذیری به مهاجم احراز هویت شده با دسترسی محدود اجازه می‌دهد تا با ارسال درخواست‌های خاص API به یک نقطه‌ی انتهایی مشخص، سطح دسترسی خود را به سطح مدیر افزایش دهد. در نتیجه، مهاجم می‌تواند گره‌های تحت مدیریت را که وظیفه پردازش تماس‌های ویدئویی و صوتی را بر عهده دارند، به کنترل خود درآورده، پیکربندی‌ها را تغییر داده یا دسترسی‌های غیرمجاز ایجاد کند.
بردار CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H نشان‌دهنده‌ی آسیب‌پذیری بحرانی است که مهاجم می‌تواند از راه دور و بدون نیاز به تعامل مستقیم با کاربر، با استفاده از دسترسی اولیه محدود به سیستم نفوذ کند.
نسخه‌های تحت تأثیر
تاکنون اطلاعاتی درباره‌ی نسخه‌ی آسیب‌پذیر ارائه نشده است. توصیه می‌شود کاربران برای اطلاعات بیشتر به وب‌سایت Cisco مراجعه کنند.
توصیه‌های امنیتی
برای کاهش ریسک این آسیب‌پذیری، اقدامات زیر توصیه می‌گردد:
- به‌روزرسانی نرم‌افزار CMM به جدیدترین نسخه‌ای که این آسیب‌پذیری را برطرف کرده است.
- محدود کردن دسترسی به رابط برنامه‌نویسی کاربردی تنها برای کاربران مجاز.
- پیاده‌سازی احراز هویت چندعاملی برای کاربران.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2025-20156
- 67