JVNDB-2025-024028

 シスコシステムズのCisco Desk Phone 9841 ファームウェア等の複数製品における情報漏えいに関する脆弱性

Cisco Desk Phone 9800 シリーズ、Cisco IP Phone 7800 および 8800 シリーズ、Cisco Video Phone 8875 におけるディレクトリ権限に関する脆弱性により、認証されていないリモートの攻撃者が影響を受けるデバイス上の機密情報にアクセスできる可能性があります。この脆弱性は、製品が明示的にアクセスを許可されていない第三者に機密情報を公開してしまうことが原因で発生します。攻撃者は、Webアクセスが有効になっているデバイスのIPアドレスに細工したパケットを送信することで、この脆弱性を悪用可能です。悪用が成功すると、攻撃者がデバイスから機密情報にアクセスできます。注意点として、この脆弱性を悪用するには電話機でWebアクセスが有効になっている必要がありますが、Webアクセスはデフォルトで無効になっています。

シスコシステムズ

• Cisco Desk Phone 9841 ファームウェア 3.0\(1\) 以上 3.3\(1\) 未満
• Cisco Desk Phone 9851 ファームウェア 3.0\(1\) 以上 3.3\(1\) 未満
• Cisco Desk Phone 9861 ファームウェア 3.0\(1\) 以上 3.3\(1\) 未満
• Cisco Desk Phone 9871 ファームウェア 3.0\(1\) 以上 3.3\(1\) 未満
• IP Phone 7811 ファームウェア 14.3\(1\) 未満
• IP Phone 7811 ファームウェア 14.3\(1\)
• IP Phone 7821 ファームウェア 14.3\(1\) 未満
• IP Phone 7821 ファームウェア 14.3\(1\)
• IP Phone 7841 ファームウェア 14.3\(1\) 未満
• IP Phone 7841 ファームウェア 14.3\(1\)
• IP Phone 7861 ファームウェア 14.3\(1\) 未満
• IP Phone 7861 ファームウェア 14.3\(1\)
• IP Phone 8811 ファームウェア 14.3\(1\) 未満
• IP Phone 8811 ファームウェア 14.3\(1\)
• IP Phone 8821 ファームウェア 11.0\(6\) 未満
• IP Phone 8821 ファームウェア 11.0\(6\)
• IP Phone 8841 ファームウェア 14.3\(1\) 未満
• IP Phone 8841 ファームウェア 14.3\(1\)
• IP Phone 8845 ファームウェア 14.3\(1\) 未満
• IP Phone 8845 ファームウェア 14.3\(1\)
• IP Phone 8851 ファームウェア 14.3\(1\) 未満
• IP Phone 8851 ファームウェア 14.3\(1\)
• IP Phone 8851nr Firmware 14.3\(1\) 未満
• IP Phone 8851nr Firmware 14.3\(1\)
• IP Phone 8861 ファームウェア 14.3\(1\) 未満
• IP Phone 8861 ファームウェア 14.3\(1\)
• IP Phone 8865 ファームウェア 14.3\(1\) 未満
• IP Phone 8865 ファームウェア 14.3\(1\)
• video phone 8875 ファームウェア 2.3\(1\) 未満
• video phone 8875 ファームウェア 3.0\(1\) 以上 3.3\(1\) 未満
• video phone 8875 ファームウェア 2.3\(1\)

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

シスコシステムズ

• Cisco Security Advisory : Cisco Desk Phone 9800 Series, IP Phone 7800 and 8800 Series, and Video Phone 8875 with SIP Software Vulnerabilities

1. 情報漏えい(CWE-200) [その他]

1. CVE-2025-20336

1. National Vulnerability Database (NVD) : CVE-2025-20336

• [2026年01月07日]
    掲載