建站
咨詢
售后
建站咨詢
新聞中心
思科旗下的統(tǒng)一CDM(通信域名管理器)被曝包含一個默認無法修改的特權(quán)賬戶并使用靜態(tài)密碼，攻擊者可利用對平臺進行遠程攻擊和入侵。
漏洞影響
思科旗下的統(tǒng)一CDM是思科托管協(xié)作解決方案(HCS)中的UC域名管理器。它使得思科統(tǒng)一通信管理器、思科統(tǒng)一連接、思科Jabber應用以及相關(guān)的手機和軟件客戶端具有自動化和管理功能。
4.4.5版本之前的思科統(tǒng)一通信域名管理器平臺軟件都受此漏洞的影響，但是思科統(tǒng)一通信域名管理器版本10.x 并未受影響，因為它并未包含受影響的平臺軟件。思科安全報告中陳述道：
“思科統(tǒng)一CDM平臺軟件中存在一個漏洞，該漏洞允許未經(jīng)身份驗證的遠程攻擊者以root權(quán)限用戶進行登錄，并可以完全控制受影響的系統(tǒng)。該漏洞之所以存在，是因為一個特權(quán)賬戶擁有了一個默認的靜態(tài)密碼。在安裝該軟件時就創(chuàng)建了此賬戶，并且在不影響系統(tǒng)功能的前提下，無法修改或刪除該賬戶，使用該賬戶通過SSH遠程連接到受影響的系統(tǒng)，攻擊者就可以利用這個漏洞。一個利用代碼可以允許攻擊者完全控制整個受影響的系統(tǒng)。”
思科公司證實了該漏洞的存在。該漏洞利用起來非常簡單，攻擊者可以通過SSH遠程連接到統(tǒng)一CDM平臺，并可以以具有root權(quán)限的賬戶身份登錄，這使得攻擊者有可能控制整個思科統(tǒng)一CDM平臺，并能夠竊取該平臺上管理的所有數(shù)據(jù)。思科公司對該漏洞的嚴重性評級為10，即最高的安全等級。
已發(fā)布漏洞補丁
思科已經(jīng)修復了思科統(tǒng)一CDM平臺中的該漏洞，并發(fā)布了免費軟件升級來解決這個問題。這份安全報告可以在這里下載到。
值得注意的是，將管理憑證或SSH密鑰進行硬編碼這類事件已經(jīng)不是第一次。就在幾周前，思科的安全專家在思科的很多安全設備中都發(fā)現(xiàn)存在一個默認的SSH密鑰(Freebuf相關(guān)報道)。
新聞名稱：思科統(tǒng)一CDM平臺曝特權(quán)賬戶和靜態(tài)密碼
標題路徑：http://www.5511xx.com/article/dpjcdsj.html
