Lỗ hổng mật khẩu tĩnh trong phần mềm của Cisco

Gần đây, Cisco đã tiết lộ một lỗ hổng bảo mật có thể gây hậu quả nghiêm trọng trong Trình quản lý Smart Software Manager (SSM). Theo thông báo, một lỗ hổng mật khẩu tĩnh đã tồn tại trong sản phẩm Smart Software Manager On-Prem* của Cisco làm lộ các thành phần quan trọng của hệ thống cho những kẻ tấn công từ xa.



* Trình quản lý phần mềm On-premise



Cisco tiết lộ về lỗ hổng mật khẩu tĩnh  



Cisco đã tiết lộ một lỗi nghiêm trọng trong sản phẩm SSM On-Prem. Lỗ hổng CVE-2020-3158 có trong dịch vụ High Availability (HA – tính sẵn sàng cao) của sản phẩm để lộ các bộ phận hệ thống nhạy cảm cho những kẻ tấn công từ xa không xác thực.



Theo mô tả trong bài viết , lỗ hổng trên do việc tạo lập mật khẩu mặc định và mật khẩu tĩnh. Bất kỳ kẻ tấn công từ xa nào cũng có thể lợi dụng tài khoản mặc định để kết nối với hệ thống và sau đó có được quyền truy cập vào các vùng quan trọng của hệ thống.



“Việc khai thác thành công có thể giúp kẻ tấn công có được quyền truy cập đọc và ghi vào dữ liệu trên hệ thống, bao gồm cả cấu hình của thiết bị bị ảnh hưởng. Chúng có thể sẽ có quyền truy cập vào những phần nhạy cảm nhưng không có quyền quản trị hoàn toàn để kiểm soát thiết bị.”



Lỗ hổng đã được vá – Cần cập nhật ngay



Ông Steven Van Loo của hIQkru (một trang web hỗ trợ các dự án CNTT) đã phát hiện ra lỗ hổng và báo cáo cho Cisco.



Các nhà cung cấp nói rằng lỗi này ảnh hưởng đến tất cả các phiên bản SSM On-Prem trước bản 7-202001. Tuy nhiên, lỗi chỉ có thể hoạt động khi bật tính năng HA.



Cisco đã vá lỗi trong bản SSM On-Prem 7-202001 và các phiên bản mới hơn. Nhà cung cấp cũng xác nhận không có hoạt động khai thác lỗ hổng nào.



Lỗ hổng mật khẩu tĩnh này là lỗ hổng ở mức đặc biệt nghiêm trọng duy nhất được báo cáo cho đến tháng 2 náy. Cisco đã sửa nhiều lỗ hổng trong các sản phẩm khác nhau nhưng tất cả chúng đều nhận được đánh giá mức độ trung bình hoặc mức độ nghiêm trọng cao.



Vào tháng 1 năm nay, Cisco đã sửa một lỗ hổng bảo mật quan trọng trong Trung tâm quản lý Firepower Management Center (FMC) . Lỗi này nếu bị khai thác có thể cho phép thực thi mã từ xa.



Quỳnh Thảo, theo TheHackerNews
The post Lỗ hổng mật khẩu tĩnh trong phần mềm của Cisco appeared first on SecurityDaily .