Cisco corrige une faille critique dans son système Unified CDM

L’outil Unified CDM de Cisco fait partie du système de collaboration Hosted Collaboration System, lequel est chargé de délivrer des fonctions d'automatisation et d’administration au gestionnaire Unified Communications Manager, à Unity Connection, aux applications Jabber, aux mobiles et aux logiciels clients associés. Le compte privilégié est créé lorsque Unified MDP est installé pour la première fois et celui-ci ne peut être modifié ou supprimé sans affecter la fonctionnalité du système. Cisco n’explique pas exactement pourquoi dans son avis de sécurité. Tout ce que dit l’équipementier, c’est que la seule solution pour y remédier est d'installer les correctifs qu'il vient de livrer.

Si la faille n’est pas corrigée, des attaquants distants pourraient accéder à la plateforme en se connectant via SSH à ce compte par défaut qui possède des privilèges root, ce qui leur donnerait alors un contrôle total sur le système. La vulnérabilité est de niveau 10, le score de gravité le plus élevé de la grille Common Vulnerability Scoring System (CVSS). Cela signifie que l'exploitation de la faille est facile et peut conduire à une compromission complète de la confidentialité, de l'intégrité et de la disponibilité du système. La version 4.4.5 du logiciel de Unified CDM corrige la vulnérabilité, mais d’autres correctifs sont disponibles pour les versions 4.4.3 et 4.4.4 pour les clients qui disposent de contrats de support.

Le problème a été découvert par Cisco lors de tests de sécurité effectués en interne. Pour l’instant l’entreprise ne peut pas dire si la faille est ou non en cours d’exploitation. Les comptes d’administration par défaut avec des mots de passe statiques codés en dur sont un problème grave, mais ce phénomène n’est pas nouveau dans les équipements réseaux et autres hardwares. Ils sont la conséquence de décisions de conception bon marché prises à une époque où la sécurité avait peu d’importance dans le développement des produits.