سیسکو بروزرسانی امنیتی را جهت وصله کردن آسیب پذیری شدید موجود در سرویس Smart Software Manager (SSM) On-Perm منتشر کرده است

سیسکو بروزرسانی امنیتی را جهت وصله کردن آسیب پذیری شدید موجود در سرویس Smart Software Manager (SSM) On-Perm منتشر کرده است

سیسکو نقص مهمی را در محصول Cisco Smart Software Manager On-Prem خود کشف کرده است. این ابزار برای مدیریت لایسنس سیسکو بدون نیاز به اتصال اینترنتی می باشد که در سازمانهایی که شرایط امنیتی حساس دارند مورد استفاده قرار می گیرد.

 

Cisco's Smart Software Manager (SSM) که نام پیشین آن Cisco Smart Software Manager satellite می باشد به سازمانها کمک می کند تا لایسنس و کلیدهای فعال سازی نرم افزار سیسکو را مدیریت کنند، اما این شرکت اعلام کرده است که اجزای SSM On-Prem دارای نقص اساسی و درجه شدت 9.8 از 10 می باشد.

سیسکو می گوید این اشکال که به عنوان CVE-2020-3158 شناخته می شود، می تواند به یک مهاجم از راه دور اجازه دهد که دسترسی به قسمتهای حساس سیستم را با بالاترین سطح دسترسی داشته باشد.

سیسکو هشدار می دهد که مهاجم برای حمله نیاز به ورود معتبر ندارد تا حمله خود را انجام دهد بلکه می تواند با سوء استفاده از یک حساب پیش فرض دارای دسترسی بالا که تحت کنترل ادمین سیستم نمی باشد برای اتصال به سیستم آسیب پذیر استفاده کند و دسترسی خواندن و نوشتن به داده های سیستم و تغییر تنظیمات را داشته باشد.

این آسیب پذیری را Steven Van Loo مشاور اطلاعات شرکت hlQkru که یک شرکت مشاور اطلاعات بلژیکی می باشد کشف کرده است.

سیسکو خاطر نشان می کند یک مهاجم لزوماً با ورود به سیستم با رمز استاتیک دسترسی کامل ادمین را به دست نمی آورد ولی به قسمتهای حساس سیستم می تواند دسترسی داشته باشد.

این آسیب پذیری، نسخه های قبل از 7-202001 این محصول را در صورت فعال بودن ویژگی High Availability (HA) تحت تاثیر قرار می دهد. ادمین با مراجعه به رابط کاربری تحت وب و بررسی وضعیتStatus  High Availability می توانید بررسی کنید که آیا این ویژگی فعال شده است یا خیر. این ویژگی به صورت پیش فرض فعال نمی باشد.

همچنین ادمین می تواند با استفاده از کنسول onperm کامند ha_status را تایپ کند تا مشخص شود که آیا این ویژگی فعال است یا خیر.

نقص SSM On-Perm تنها مسئله مهمی بود که در بروزرسانی فوریه فاش شد. این شرکت همچنین 6 آسیب پذیری شدید را در Unified Contact Center، سیستم عامل UCS C-Series Rack Servers، Email Security Appliance and Security Management Appliance و Data Center Network Manager فاش کرده است.

منبع: ZDnet.com