Vulnerability CVE-2022-20787 - CERT Civis.Net

Vulnerability Name:

CVE-2022-20787 (CCN-224843)

Assigned:

2021-11-02

Published:

2022-04-20

Updated:

2022-05-04

Summary:

A vulnerability in the web-based management interface of Cisco Unified Communications Manager (Unified CM) Software and Cisco Unified CM Session Management Edition (SME) Software could allow an authenticated, remote attacker to conduct a cross-site request forgery (CSRF) attack on an affected device. This vulnerability is due to insufficient CSRF protections for the web-based management interface on an affected device. An attacker could exploit this vulnerability by persuading a user of the interface to click a malicious link. A successful exploit could allow the attacker to perform arbitrary actions with the privilege level of the affected user.

CVSS v3 Severity:

6.8 Medium (CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H)
5.9 Medium (Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): High User Interaction (UI): Required
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): High Integrity (I): High Availibility (A): High

5.7 Medium (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N)
5.0 Medium (CCN Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): High Privileges Required (PR): High User Interaction (UI): Required
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): High Integrity (I): High Availibility (A): None

CVSS v2 Severity:

6.0 Medium (CVSS v2 Vector: AV:N/AC:M/Au:S/C:P/I:P/A:P)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Authentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): Partial Integrity (I): Partial Availibility (A): Partial

6.2 Medium (CCN CVSS v2 Vector: AV:N/AC:H/Au:M/C:C/I:C/A:N)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): High Athentication (Au): Multiple_Instances
Impact Metrics:	Confidentiality (C): Complete Integrity (I): Complete Availibility (A): None

Vulnerability Type:

Vulnerability Consequences:

Gain Access

References:

Source: MITRE
Type: CNA
CVE-2022-20787

Source: XF
Type: UNKNOWN
cisco-unified-cve202220787-csrf(224843)

Source: CCN
Type: Cisco Security Advisory cisco-sa-ucm-csrf-jrKP4eNT
Cisco Unified Communications Products Cross-Site Request Forgery Vulnerability

Source: CISCO
Type: Vendor Advisory
20220420 Cisco Unified Communications Products Cross-Site Request Forgery Vulnerability

Vulnerable Configuration:

Configuration 1:

cpe:/a:cisco:unified_communications_manager:*:*:*:*:session_management:*:*:* (Version >= 14.0 and < 14su1)

OR cpe:/a:cisco:unified_communications_manager:*:*:*:*:session_management:*:*:* (Version >= 12.5(1) and < 12.5(1)su6)

OR cpe:/a:cisco:unified_communications_manager:*:*:*:*:-:*:*:* (Version >= 14.0 and < 14su1)

OR cpe:/a:cisco:unified_communications_manager:*:*:*:*:-:*:*:* (Version >= 12.5(1) and < 12.5(1)su6)

Configuration CCN 1:

cpe:/a:cisco:unified_communications_manager:5.1:(2b):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.0:(1a):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:-:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:3.3(5):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.1(3):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.3sr1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.3sr2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.3sr2b:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.3(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1:(1):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1:(2):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.0:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1:(1a):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:3.3(5)sr1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:3.3(5)sr2a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.1(3)sr1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.1(3)sr2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.1(3)sr3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.1:(3)sr4:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.0:(1):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(2)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(2):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1:(2a):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1(3d):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1(3):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1:(3a):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1(3c):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2(3)sr3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2(3)sr2b:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2(3)sr1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2(3)sr4:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2.3_sr3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_3_sr3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_3_sr2b:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_3sr1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.3_1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.3.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.3.2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_4:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_3a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.2_3_sr2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:4.3_1_sr1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1:(2a):*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1.2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_4a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.0_4a_su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.0_1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.0_1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1_3a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1_2b:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1_2a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1_2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1_1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1.0:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1_1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(1b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(2)su1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(4):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(2):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(1)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(1)su1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(2a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(2a)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0(2a)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(2a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(2a)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(2b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(2b)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3a)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3a)su1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3b)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(3b)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5)su1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b)su3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b)su1a:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1_base:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.0_base:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b)su4:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:7.1(5b)su5:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.5:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1(1b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1(1c):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:5.1(3e):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.0(1b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(3a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(3b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(3b)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(4)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(4a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(4a)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(5):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(5)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(5)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:6.1(5)su3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(2):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(2a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(2b):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(2c):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(2c)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(3):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(3a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(3a)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(3a)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.0(3a)su3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.5(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.5(1)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.5(1)su2:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.5(1)su3:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6(1a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6(2):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6(2a):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6(2a)su1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:8.6(4):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:9.0(1):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:9.1(2):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:10.5(1.98991.13):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:11.0(0.98000.225):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:10.0(1.10000.12):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:10.5(2.10000.5):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:10.5(1.99995.9):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:9.1:*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:10.5(0.98000.88):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:10.5(2.13900.9):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:11.5(0.98000.480):*:*:*:*:*:*:*

OR cpe:/a:cisco:unified_communications_manager:12.5(1):*:*:*:*:*:*:*

Denotes that component is vulnerable