Graves vulnerabilidades en Cisco Unified Communications Manager

Escrito por Rubén Velasco
Seguridad
3

Cisco ha publicado un aviso de seguridad en el que informa a sus usuarios de múltiples vulnerabilidades graves detectadas en su software Cisco Unified Communications Manager que puede permitir a un atacante tomar el control completo de un equipo. Todas las versiones por debajo de la 9.1 están afectadas por estas vulnerabilidades.

Cisco Unified Communications Manager es el administrador de llamadas por VoIP de la compañía Cisco. Esto va a permitir a los atacantes que exploten las vulnerabilidades recoger las credenciales de los usuarios, escalar privilegios y ejecutar comandos para obtener el control completo del equipo vulnerable.

cisco-tiene-problemas-de-seguridad-en-sus-telefonos-voip

Dos vulnerabilidades se pueden explotar a través de SQL Injection, que permite a un usuario sin identificar obtener metadatos de los credenciales de acceso. La segunda de las vulnerabilidades permite, una vez se tienen dichos metadatos, poder modificar la base de datos SQL añadiendo, modificando o eliminando entradas.

Otra vulnerabilidad es un error a la hora de introducir datos al sistema, lo que permite la ejecución de comandos en el sistema por parte de un usuario remoto identificado con los credenciales obtenidos gracias a las vulnerabilidades anteriores.

Para finalizar, 3 vulnerabilidades más detectadas son las que permiten a los usuarios ganar privilegios en el sistema hasta llegar a ser administradores del mismo. Un atacante podría modificar scripts internos del sistema para ganar permisos hasta alcanzar los permisos totales sobre el sistema.

Actualmente Cisco está investigando otros programas para comprobar si son vulnerables o están protegidos de estas vulnerabilidades. Aunque Cisco ya ha lanzado un parche, solo corrige 3 de las 6 vulnerabilidades detectadas en sus programas. Los usuarios de Cisco Unified Communications Manager deberán actualizar lo antes posible sus programas y permanecer atentos al lanzamiento del nuevo parche que permita a la compañía solucionar todas sus vulnerabilidades.

Podemos descargar los parches correspondientes para solucionar las vulnerabilidades desde el centro de descargas de Cisco.


Continúa leyendo
  • Pingback: Graves vulnerabilidades en Cisco Unified Commun...()

  • luismg

    en versiones 6 no podías tener un nombre o un apellido que contuviera href ( y creeme que existen ) el sistema tenía a esas personas vetadas por inyección de código, una verguenza ya que no tienes que quitar palabras peligrosas, tienes que hacer que se inserten en la bbdd no que sean interpretadas en la sentencia sql que eso es lo peligroso

    • I0s 9,2

      Macho versiones 6 estas hablando del 2005 en esa epoca telefonica tenia homolgado el iibercom IP como servicio con esa version
      Si no has actualizado a la version 9.xx ahora es como tener un ordenador con windows 95 y sin antivirus
      Menudo pamplinas seguro que eres un becario que lleva tida su vida con su centralita semi ip de Alcatel y lleva quince negando la telefonia IP

      • luismg

        no conozco ninguna empresa con versión 9 y te hablo de empresas con varios clusters de CM. Sobretodo 7 y 8 se usa.