Системный аккаунт Cisco Smart Software Manager содержит дефолтный пароль

Компания Cisco выпустила обновления безопасности для 17 уязвимостей в своем оборудовании, среди которых есть одна критическая и шесть опасных. Эксплуатация уязвимостей позволяет злоумышленникам получить удаленный доступ, выполнить код, повысить привилегии, вызвать отказ в обслуживании системы и подделать межсайтовые запросы.

Критическая уязвимость (CVE-2020-3158) содержится в инструменте Cisco Smart Software Manager On-Prem для управления лицензиями на ПО. Проблема связана с системной учетной записью, которая имеет статический встроенный пароль и не находится под контролем системного администратора. Злоумышленник с помощью данной уязвимости может использовать учетную запись для подключения к уязвимой системе. Проблема получила оценку в 9,8 балла по шкале CVSS v3.0.

Также были исправлены уязвимости повышения привилегий в мультимедийном и распределенном контакт-центре Unified Contact Center (CVE-2019-1888), решении для управления оборудованием в виртуализированном ЦОД Data Center Network Manager (CVE-2020-3112) и уязвимость выполнения кода в программном обеспечении NFV Infrastructure Software (CVE-2020-3138), эксплуатация которой требует локального доступа.

Другие проблемы связаны с возможностью осуществления SQL-инъекции в облачной системе для обеспечения безопасности web-трафика Cloud Web Security (CVE-2020-3154) и удаленного выполнения кода в Cisco IP Phone (CVE-2020-3111).