Ha vuelto a pasar. Cisco ha anunciado que la plataforma de software Cisco Unified Communications Domain Manager contiene una contraseña estática por defecto.
Cisco Unified Communications Domain Manager (Cisco Unified CDM) es una plataforma de distribución de servicios y gestión que proporciona funciones de automatización y administración sobre Cisco Unified Communications Manager, Cisco Unity Connection y aplicaciones Cisco Jabber, así como sobre los teléfonos asociados y clientes de software.
Se dice que el hombre es el único animal que tropieza dos veces con la misma piedra. Las contraseñas por defecto es la piedra con la que Cisco tropieza una y otra vez. Hace apenas una semana anunciábamos que los dispositivos Cisco Web Security Virtual Appliance (WSAv), Email Security Virtual Appliance (ESAv) y Security Management Virtual Appliance (SMAv) incluían claves SSH por defecto.
En esta ocasión, Cisco Unified Communications Domain Manager se ha encontrado de nuevo con esa dichosa piedra (en forma de contraseña estática), que podría permitir a un atacante remoto autenticarse como root (mediante SSH) y tomar el control de los sistemas afectados. La cuenta afectada se crea durante la instalación y no se puede cambiar ni eliminar sin impactar a la funcionalidad del sistema. Para distinguir a esta piedra de entre otras del camino ha quedado identificada con el CVE-2015-4196.
Y como ya comentamos, productos como Cisco TelePresence Recording Server, Cisco NetFlow Collection Engine o Cisco Wireless Location Appliances también incluyeron cuentas administrativas con contraseñas por defecto. Solo queda por pensar, qué más productos de Cisco incluyen alguna contraseña por defecto.
Cisco ha publicado actualizaciones gratuitas para corregir esta vulnerabilidad, que queda solucionada en Cisco Unified Communications Domain Manager Platform Software Releases 4.4.5 disponible desde
Más información:
Cisco Unified Communications Domain Manager Default Static Privileged Account Credentials
una-al-dia (26/06/2015) Claves SSH por defecto en dispositivos Cisco
una-al-dia (31/07/2011) Contraseña por defecto en Cisco TelePresence Recording Server
una-al-dia (13/10/2006) Contraseña por defecto en Cisco Wireless Location Appliances
una-al-dia (26/04/2007) Credenciales por defecto en Cisco NetFlow Collection Engine
Antonio Ropero
Twitter: @aropero
Deja una respuesta