Cisco deja la llave de todos sus sistemas Unified CDM bajo el felpudo
La compañía descubre que su software Unified Communications Domain Manager contiene una cuenta privilegiada con una contraseña estática que no puede borrarse ni cambiarse.
- Cisco compra OpenDNS por 635 millones de dólares
- Cisco propone una seguridad integrada para entornos físicos, virtuales y Cloud
- La Intercloud de Cisco crece a la par que la compañía simplifica el cloud híbrido
- La transformación digital, centro del acuerdo entre el Ministerio de Industria, Energía y Turismo y Cisco
- Cisco Connect esgrimirá el Fast IT para la tranformación digital
Cisco Systems se ha dado cuenta recientemente que su software Unified Communications Domain Manager (Unified CDM) contiene una cuenta privilegiada por defecto con una contraseña estática que no puede cambiarse, exponiendo la plataforma a ataques remotos. El software Unified CDM de Cisco es parte del Cisco Hosted Collaboration System y ofrece funciones administrativas y de automatización para el Cisco Unified Communications Manager, Cisco Jabber applications, clientes de software y teléfonos asociados.
La cuenta privilegiada se crea cuando se instala Unified CDM y no puede cambiarse o quitarse sin afectar a la funcionalidad del sistema, aunque Cisco no dice exactamente cómo en su aviso de seguridad. La única solución, dice la compañía, es instalar los parches que ha lanzado.
Si el problema se deja sin arreglar, atacantes remotos podrían acceder potencialmente a la plataforma via SSH e iniciar sesión con esta cuenta por defecto, que tienen privilegios raíz.
Cisco asignó la calificación más alta de posible gravedad, 10, a esta vulnerabilidad, según el sistema CVSS (Common Vulnerability Scoring System). Esto significa que explotar el fallo es fácil y puede llevar a un compromiso completa de la confidencialidad, integridad y disponibilidad de los sistemas. El problema fue descubierto por Cisco durante pruebas internas de seguridad y la compañía no ha sido informada de que ningún cliente haya tenido ningún ataque.
La vulnerabilidad ha sido corregida en la versión 4.4.5 de Unified CDM, pero hay disponibles parches para las versiones 4.4.3 y 4.4.4 para clientes con contrato de soporte.
