Cisco ha publicado un aviso de seguridad en el que informa a sus usuarios de múltiples vulnerabilidades graves detectadas en su software Cisco Unified Communications Manager que puede permitir a un atacante tomar el control completo de un equipo. Todas las versiones por debajo de la 9.1 están afectadas por estas vulnerabilidades.
Cisco Unified Communications Manager es el administrador de llamadas por VoIP de la compañía Cisco. Esto va a permitir a los atacantes que exploten las vulnerabilidades recoger las credenciales de los usuarios, escalar privilegios y ejecutar comandos para obtener el control completo del equipo vulnerable.
Dos vulnerabilidades se pueden explotar a través de SQL Injection, que permite a un usuario sin identificar obtener metadatos de los credenciales de acceso. La segunda de las vulnerabilidades permite, una vez se tienen dichos metadatos, poder modificar la base de datos SQL añadiendo, modificando o eliminando entradas.
Otra vulnerabilidad es un error a la hora de introducir datos al sistema, lo que permite la ejecución de comandos en el sistema por parte de un usuario remoto identificado con los credenciales obtenidos gracias a las vulnerabilidades anteriores.
Para finalizar, 3 vulnerabilidades más detectadas son las que permiten a los usuarios ganar privilegios en el sistema hasta llegar a ser administradores del mismo. Un atacante podría modificar scripts internos del sistema para ganar permisos hasta alcanzar los permisos totales sobre el sistema.
Actualmente Cisco está investigando otros programas para comprobar si son vulnerables o están protegidos de estas vulnerabilidades. Aunque Cisco ya ha lanzado un parche, solo corrige 3 de las 6 vulnerabilidades detectadas en sus programas. Los usuarios de Cisco Unified Communications Manager deberán actualizar lo antes posible sus programas y permanecer atentos al lanzamiento del nuevo parche que permita a la compañía solucionar todas sus vulnerabilidades.
Podemos descargar los parches correspondientes para solucionar las vulnerabilidades desde el centro de descargas de Cisco.