搜索

[9104] 2015-07-07_思科统一CDM平台曝特权账户和静态密码

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2015-07-07_思科统一CDM平台曝特权账户和静态密码 思 科 统 一 C D M 平 台 曝 特 权 账 户 和 静 态 密 码 F r e e B u f   2 0 1 5 - 0 7 - 0 7 微 信 号 ： 微 信 号 ： f r e e b u f 思 科 旗 下 的 统 一 思 科 旗 下 的 统 一 C D M （ 通 信 域 名 管 理 器 ） 被 曝 包 含 一 个 默 认 无 法 修 改 的 特 权 账 户 并 使 用 静 态 密 码 ， 攻 击 者 可 利 用 对 （ 通 信 域 名 管 理 器 ） 被 曝 包 含 一 个 默 认 无 法 修 改 的 特 权 账 户 并 使 用 静 态 密 码 ， 攻 击 者 可 利 用 对 平 台 进 行 远 程 攻 击 和 入 侵 。 平 台 进 行 远 程 攻 击 和 入 侵 。 漏 洞 影 响 漏 洞 影 响 思 科 旗 下 的 统 一 C D M 是 思 科 托 管 协 作 解 决 方 案 （ H C S ） 中 的 U C 域 名 管 理 器 。 它 使 得 思 科 统 一 通 信 管 理 器 、 思 科 统 一 连 接 、 思 科 J a b b e r 应 用 以 及 相 关 的 手 机 和 软 件 客 户 端 具 有 自 动 化 和 管 理 功 能 。 4 . 4 . 5 版 本 之 前 的 思 科 统 一 通 信 域 名 管 理 器 平 台 软 件 都 受 此 漏 洞 的 影 响 ， 但 是 思 科 统 一 通 信 域 名 管 理 器 版 本 1 0 . x   并 未 受 影 响 ， 因 为 它 并 未 包 含 受 影 响 的 平 台 软 件 。 思 科 安 全 报 告 中 陈 述 道 ： “ 思 科 统 一 C D M 平 台 软 件 中 存 在 一 个 漏 洞 ， 该 漏 洞 允 许 未 经 身 份 验 证 的 远 程 攻 击 者 以 r o o t 权 限 用 户 进 行 登 录 ， 并 可 以 完 全 控 制 受 影 响 的 系 统 。 该 漏 洞 之 所 以 存 在 ， 是 因 为 一 个 特 权 账 户 拥 有 了 一 个 默 认 的 静 态 密 码 。 在 安 装 该 软 件 时 就 创 建 了 此 账 户 ， 并 且 在 不 影 响 系 统 功 能 的 前 提 下 ， 无 法 修 改 或 删 除 该 账 户 ， 使 用 该 账 户 通 过 S S H 远 程 连 接 到 受 影 响 的 系 统 ， 攻 击 者 就 可 以 利 用 这 个 漏 洞 。 一 个 利 用 代 码 可 以 允 许 攻 击 者 完 全 控 制 整 个 受 影 响 的 系 统 。 ”
思 科 公 司 证 实 了 该 漏 洞 的 存 在 。 该 漏 洞 利 用 起 来 非 常 简 单 ， 攻 击 者 可 以 通 过 S S H 远 程 连 接 到 统 一 C D M 平 台 ， 并 可 以 以 具 有 r o o t 权 限 的 账 户 身 份 登 录 ， 这 使 得 攻 击 者 有 可 能 控 制 整 个 思 科 统 一 C D M 平 台 ， 并 能 够 窃 取 该 平 台 上 管 理 的 所 有 数 据 。 思 科 公 司 对 该 漏 洞 的 严 重 性 评 级 为 1 0 ， 即 最 高 的 安 全 等 级 。 已 发 布 漏 洞 补 丁 已 发 布 漏 洞 补 丁 思 科 已 经 修 复 了 思 科 统 一 C D M 平 台 中 的 该 漏 洞 ， 并 发 布 了 免 费 软 件 升 级 来 解 决 这 个 问 题 。 值 得 注 意 的 是 ， 将 管 理 凭 证 或 S S H 密 钥 进 行 硬 编 码 这 类 事 件 已 经 不 是 第 一 次 。 就 在 几 周 前 ， 思 科 的 安 全 专 家 在 思 科 的 很 多 安 全 设 备 中 都 发 现 存 在 一 个 默 认 的 S S H 密 钥 。 < 更 多 详 情 请 点 击 最 底 部 阅 读 全 文 > * 参 考 来 源 ： s e c u r i t y a f f a i r s ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理