As falhas do utilitário de licenciamento inteligente da Cisco sugerem que ele é muito burro em termos de segurança
Se você estiver executando o suposto Smart Licensing Utility da Cisco, há duas falhas que você deve corrigir agora mesmo.
“Várias vulnerabilidades no Cisco Smart Licensing Utility podem permitir que um invasor remoto não autenticado colete informações confidenciais ou administre os serviços do Cisco Smart Licensing Utility em um sistema enquanto o software estiver em execução”, disse a gigante das redes. avisado sobre duas questões críticas.
“A Cisco lançou atualizações de software que abordam essas vulnerabilidades. Não há soluções alternativas que abordem essas vulnerabilidades.”
As duas falhas independentes podem permitir que um invasor remoto faça login com privilégios de administrador e subverta todo o sistema. Isso é ruim se pessoas não confiáveis ou usuários desonestos puderem acessar o serviço de licenciamento. Se você tiver outras defesas na frente do software Cisco, isso atenuará o risco.
As vulnerabilidades são:
- CVE-2024-20439 – A falha permite que “um invasor remoto não autenticado faça login em um sistema afetado usando uma credencial administrativa estática”, disse a Cisco. Há acesso administrativo total para um invasor astuto.
- CVE-2024-20440 – A Cisco culpa “excesso de verbosidade em um arquivo de log de depuração” por esse bug, que permite que uma solicitação HTTP cuidadosamente projetada “obtenha arquivos de log que contêm dados confidenciais, incluindo credenciais que podem ser usadas para acessar a API”. Em outras palavras, fim de jogo, cara (linguagem NSFW.)
Ambas as falhas têm uma classificação CVSS de 9,8 de 10 em gravidade e não têm solução alternativa. O setor de redes não tem mais comentários sobre os erros.
Um porta-voz da Cisco disse O Registro“Essas vulnerabilidades não podem ser exploradas, a menos que o Cisco Smart Licensing Utility tenha sido iniciado por um usuário e esteja em execução ativamente.”
A Equipe de Resposta a Incidentes de Segurança de Produtos (PSIRT) do fornecedor “não tem conhecimento de nenhum uso malicioso dessas vulnerabilidades, e há software corrigido disponível”, disse o porta-voz.
Os problemas foram encontrados internamente pelo engenheiro de segurança de rede Eric Vance, então, esperançosamente, os criminosos online não chegaram a explorá-los. Mas agora que eles são públicos, os canalhas vão se amontoar se puderem encontrar uma instância vulnerável para atacar, então conserte agora.
Além disso, como sempre, verifique sua licença de suporte. “Os clientes só podem baixar software para o qual tenham uma licença válida, adquirida diretamente da Cisco ou por meio de um revendedor ou parceiro autorizado da Cisco”, ele alerta como algo natural.
“Na maioria dos casos, será uma atualização de manutenção para um software que foi adquirido anteriormente. As atualizações gratuitas de software de segurança não dão direito aos clientes a uma nova licença de software, conjuntos de recursos de software adicionais ou atualizações de revisão importantes.” ®
