RCE 0day su Akkadian Provisioning Manager scoperta da Rapid7.

L'Akkadian Provisioning Manager, che viene utilizzato come strumento di provisioning di terze parti all'interno degli ambienti Cisco Unified Communications, ha tre vulnerabilità di sicurezza ad alta gravità che possono essere concatenate per consentire l'esecuzione di codice remoto (RCE, Remote Code Execution) con privilegi elevati, hanno affermato i ricercatori.

Questi difetti rimangono senza patch, secondo i ricercatori di Rapid7 che li hanno scoperti e comunicati al vendor a febbraio, pertanto si tratta di vulnerabilità 0day in quanto l'azienda ancora non ha proceduto alla realizzazione delle patch.

La suite UC di Cisco consente comunicazioni VoIP e video su tutto il perimetro aziendale. Il prodotto Akkadian è un appliance tipicamente utilizzato nelle grandi aziende per aiutare a gestire il processo di provisioning e configurazione di tutti i client e le istanze, tramite processi di automazione.

I problemi, tutti presenti nella versione 4.50.18 della piattaforma, sono i seguenti:

• CVE-2021-31579: Utilizzo di credenziali hardcoded (severity 8,2)

• CVE-2021-31580 e CVE-2021-31581: Improper neutralization di elementi speciali utilizzati in un comando del sistema operativo (severity 7.9)

• CVE-2021-31582: Esposizione di informazioni sensibili (classifica 7.9)

La combinazione della CVE-2021-31579 con la CVE-2021-31580 o la CVE-2021-31581, consente ad un malintenzionato di ottenere l'accesso alla shell a livello di root dei dispositivi interessati, secondo Rapid7. Ciò semplifica l'installazione di cryptominer, keylogger, shell persistenti e qualsiasi altro tipo di malware basato su Linux.

Nel frattempo, i ricercatori hanno affermato che CVE-2021-31582 può consentire a un utente malintenzionato che è già autenticato sul dispositivo di alterare o eliminare il contenuto del database MariaDB locale, che è un fork gratuito e open source del sistema di gestione del database relazionale MySQL.

In alcuni casi, gli aggressori potrebbero recuperare le credenziali tramite Bind LDAP in uso nell'organizzazione, che vengono utilizzate per autenticare i client (e gli utenti o le applicazioni dietro di essi) su un server di directory.

Rapid7 ha rivelato i bug ad Akkadian a febbraio, ma nonostante i numerosi follow-up, non c'è stata risposta.

Per proteggere i propri ambienti, le aziende dovrebbero limitare l'accesso alla rete alla porta SSH (22/tcp), in modo che solo gli utenti fidati possano accedere e disabilitare qualsiasi connettività.

"Inoltre, gli operatori di sistema dovrebbero sapere che, in assenza di una correzione, gli utenti che hanno accesso ad Akkadian Appliance Manager hanno effettivamente accesso alla shell di root al dispositivo, a causa del secondo e del terzo problema", secondo l'analisi.

Fonte

https://threatpost.com/unpatched-bugs-provisioning-cisco-uc/166882/