Cisco waarschuwt voor kritiek lek door hardcoded SSH-wachtwoord
Cisco waarschuwt organisaties die van Cisco Unified Communications Manager gebruikmaken voor een root-account met een hardcoded SSH-wachtwoord dat niet is te veranderen of verwijderen. Via het wachtwoord kan een aanvaller op het systeem inloggen en willekeurige code als root uitvoeren, aldus Cisco. De impact van de kwetsbaarheid (CVE-2025-20309) is op een schaal van 1 tot en met 10 beoordeeld met een 10.0.
Cisco Unified Communications Manager is een voip-platform dat telefoongesprekken verwerkt. Volgens Cisco is het root-account met het hardcoded SSH-wachtwoord eigenlijk bedoeld voor gebruik tijdens de ontwikkeling. Waarom het account is achtergebleven laat het bedrijf niet weten. Cisco heeft updates uitgebracht om het probleem te verhelpen en zegt niet bekend te zijn met actief misbruik.
Tip voor al deze bedrijven: hanteer een security checklist voor nieuwe producten.
Dit is een beschamende CVE die volledig te voorkomen was...
Check hun product home page: Open and interoperable en Secure and compliant :)
Als je het bericht leest: "met een hardcoded SSH-wachtwoord dat niet is te veranderen of verwijderen"
Appliances hebben vaak een firmware waarbinnen je alleen als advanced user "te gast bent". Je hebt dus geen root rechten. Die verkrijg je alleen als je in dit geval een firmware binary te pakken krijgt, deze kunt mounten, de shadow kopieert en via een brute force aanval (of als je geluk hebt staat hij ergens in de logs of een config file) het wachtwoord achterhaalt.
Voor een bedrijf als Cisco is dit (als het niet bewust is) wel incompetentie ten top. Dit is echt met minimale inspanning (checklist langs laten lopen door iemand buiten het primaire productteam) te voorkomen.
Als je het bericht leest: "met een hardcoded SSH-wachtwoord dat niet is te veranderen of verwijderen"
Appliances hebben vaak een firmware waarbinnen je alleen als advanced user "te gast bent". Je hebt dus geen root rechten. Die verkrijg je alleen als je in dit geval een firmware binary te pakken krijgt, deze kunt mounten, de shadow kopieert en via een brute force aanval (of als je geluk hebt staat hij ergens in de logs of een config file) het wachtwoord achterhaalt.
Voor een bedrijf als Cisco is dit (als het niet bewust is) wel incompetentie ten top. Dit is echt met minimale inspanning (checklist langs laten lopen door iemand buiten het primaire productteam) te voorkomen.
Appliances worden vaak door windowsmensen gekocht, die kijken daar niet naar om maar en verwachten dat de leverancier alles wel update en veilig houdt. Linuxmensen updaten liever zelf en willen kunnen inloggen om het root wachtwoord te veranderen.
Nog liever willen ze helemaal geen aplliance (want dat is toch maar een LInux of BSD omgeving) maar een Linux VM die ze zel patchen om in control te zijn.
dus een backdoor... gelukkig kunnen we altijd de chinezen de schuld geven.. FUD-R-US...
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?