La vulnerabilità di Cisco SSM consente agli hacker di cambiare qualsiasi password utente

Cisco, il più grande fornitore di attrezzature di rete al mondo, ha divulgato una vulnerabilità critica nei suoi server di licenza Cisco Smart Software Manager On-Prem (SSM On-Prem) mercoledì.

La vulnerabilità consente a un attaccante remoto non autenticato di cambiare la password di qualsiasi utente, inclusi gli utenti amministrativi.

La vulnerabilità critica tracciata come CVE-2024-20419 (punteggio CVSS: 10) deriva da un’implementazione impropria del processo di cambio password all’interno del sistema di autenticazione Cisco SSM On-Prem.

Un attaccante può sfruttare questa vulnerabilità inviando richieste HTTP create ad arte a un dispositivo interessato.

Lo sfruttamento riuscito di questa vulnerabilità consente a un attaccante di accedere all’interfaccia web o all’API con i privilegi dell’utente compromesso, portando potenzialmente a un controllo amministrativo non autorizzato sul dispositivo.

Questa vulnerabilità colpisce Cisco SSM On-Prem e Cisco Smart Software Manager Satellite (SSM Satellite). Per le versioni precedenti alla Release 7.0, questo prodotto era noto come Cisco SSM Satellite. A partire dalla Release 7.0, questo prodotto è chiamato Cisco SSM On-Prem.

Cisco afferma che non sono disponibili soluzioni alternative per affrontare questa vulnerabilità. Per mitigare il rischio, si consiglia a tutti gli amministratori di aggiornare a una versione software corretta appropriata, come indicato nella tabella sottostante.

| | Release Cisco SSM On-Prem | | Prima Release Fissa | |

| | 8-202206 e precedenti | | 8-202212 | |

| | 9 | | Non vulnerabile | |

Il Cisco Product Security Incident Response Team (PSIRT) non è a conoscenza di annunci pubblici o utilizzi malevoli della vulnerabilità, poiché non ha ancora trovato prove che il difetto venga sfruttato attivamente.

Cisco ha anche confermato che questa vulnerabilità non influisce sul Cisco Smart Licensing Utility.

I clienti con contratti di servizio che consentono loro aggiornamenti software regolari dovrebbero ottenere le correzioni di sicurezza attraverso i loro consueti canali di aggiornamento.

Coloro che non hanno contratti di servizio possono contattare il Technical Assistance Center (TAC) per ricevere aiuto nell’ottenere gli aggiornamenti necessari.