В ПО Cisco найден и устранен жестко закодированный пароль

Разработчики компании Cisco устранили более 20 уязвимостей в своих продуктах, включая два критических бага, один из которых представлял собой жестко закодированные учетные данные в составе Prime Collaboration Provisioning (PCP).

В бюллетене безопасности специалисты рассказывают, что баг получил идентификатор CVE-2018-0141 и позволял локальному атакующему подключиться к уязвимой версии Prime Collaboration Provisioning посредством SSH, в итоге получив доступ к операционной системе, пусть и как непривилегированный пользователь. Тем не менее, баг получил 5.9 баллов из 10 по шкале CVSS и статус критического, так как при определенных условиях атакующий также мог повысить свои привилегии в системе. Сообщается, что проблеме была подвержена только версия PCP 11.6.

Еще одна критическая проблема была обнаружена в составе Secure Access Control System и получила идентификатор CVE-2018-0147. Это баг был оценен в 9.8 баллов из 10 возможных по шкале CVSS. Уязвимость связана с проблемой десериализации Java, она позволяла выполнить произвольный код на уязвимом устройстве без надлежащей аутентификации и с root-привилегиями.

Помимо двух критических багов, также была исправлена проблема CVE-2018-0087, названная высокоопасной. Уязвимость затронула FTP-сервер в составе Cisco Web Security Appliance (WSA). Из-за некорректной валидации учетных данных, удаленный атакующий имел возможность подключиться к уязвимому серверу, без использования надлежащих логина и пароля.

Эксперты традиционно призывают администраторов не откладывать обновления на потом и установить исправления как можно скорее.

Источник