Kritische Schwachstelle in Cisco Unified CM entdeckt
Eine kritische Schwachstelle in Cisco Unified CM und SME ermöglicht Angreifern Root-Zugriffe. Unternehmen sind dringend zum Handeln aufgefordert.
Eine kritische Schwachstelle in Cisco wurde öffentlich. Sie betrifft die Produkte Unified Communications Manager (Unified CM) und Unified CM Session Management Edition (SME).
Die Schwachstelle erlaubt es Angreifern, höchste Zugriffsrechte im Betriebssystem verwundbarer Geräte zu erlangen. Damit können sie die Geräte vollständig kontrollieren.
Die Schwachstelle wurde mit dem maximalen CVSS-Wert von 10,0 bewertet. Dieser gibt an, wie hoch der Schweregrad einer Sicherheitslücke in IT-Systemen ist.
Kritische Cisco-Schwachstelle ebnet Weg für Angreifer
Wie «Golem» berichtet, basiert die Lücke auf fest kodierten SSH-Anmeldedaten für ein Root-Konto. Diese können weder geändert noch gelöscht werden.
Angreifer können sich mit diesen Zugangsdaten aus der Ferne per SSH anmelden. Dadurch können sie laut «Heise» beliebige Befehle auf dem System ausführen.
Laut Cisco war das Konto ursprünglich nur für die Entwicklung gedacht. Es wurde aber versehentlich in die Produktivversion übernommen.
Betroffene Versionen und fehlende Workarounds
Nur ein von Cisco bereitgestellter Patch schützt vor den potenziellen Angriffen der Sicherheitslücke. Hinweise auf eine aktive Ausnutzung gibt es bislang nicht.
Laut «All About Security» können Unternehmen nur durch die Installation des Updates die Gefahr einer vollständigen Systemübernahme abwenden.
Dringende Handlungsempfehlung
Cisco bietet für betroffene Nutzer eine überarbeitete Software an, die die Schwachstelle behebt. Kunden mit gültigem Service-Vertrag können das Update über die Support- und Download-Plattform von Cisco beziehen.
Betroffene Systeme sollten laut «IT-Administrator.de» zudem auf Hinweise im Systemprotokoll geprüft werden, um mögliche Kompromittierungen zu erkennen.
Cisco hatte bereits in der Vergangenheit ähnliche Probleme bei anderen Produkten gemeldet. API-Fehler erlaubten Angreifern laut «Heise», Root-Rechte auf ungepatchten Systemen zu ergattern.
