Cisco, bir saldırganın kök kullanıcı olarak duyarlı bir cihaza giriş yapmasına izin vererek yüksek ayrıcalıklar kazanmalarına izin verebilecek bir Unified Communications Manager’da (Unified CM) ve Birleşik İletişim Yöneticisi Oturum Yönetimi Edition’da (Unified CM KOBİ) maksimum bireysel güvenlik kusurunu ele almak için güvenlik güncellemeleri yayınladı.
Güvenlik açığı, CVE-2025-2030910.0 CVSS skoru taşır.
Cisco Çarşamba günü yayınlanan bir danışmada, “Bu güvenlik açığı, kalkınma sırasında kullanılmak üzere ayrılmış kök hesabı için statik kullanıcı kimlik bilgilerinin varlığından kaynaklanıyor.” Dedi.
“Bir saldırgan, etkilenen bir sisteme giriş yapmak için hesabı kullanarak bu güvenlik açığını kullanabilir. Başarılı bir istismar, saldırganın etkilenen sisteme giriş yapmasına ve kök kullanıcı olarak keyfi komutlar yürütmesine izin verebilir.”
Bunun gibi sert kodlanmış kimlik bilgileri genellikle geliştirme sırasında test veya hızlı düzeltmelerden gelir, ancak asla canlı sistemlere dönüştürmemelidir. Bir şirkette sesli çağrıları ve iletişimi ele alan Unified CM gibi araçlarda, kök erişimi saldırganların ağın derinliklerine doğru hareket etmesine, aramaları dinlemesine veya kullanıcıların giriş yapmalarını değiştirmesine izin verebilir.
Ağ Ekipmanı Binbaşı, kusurun vahşi doğada sömürüldüğüne dair hiçbir kanıt bulamadığını ve iç güvenlik testi sırasında keşfedildiğini söyledi.
CVE-2025-20309, cihaz yapılandırmasına bakılmaksızın, birleşik CM ve Birleşik CM KOBİ sürümlerini 15.0.1.13010-1 ila 15.0.13017-1 etkiler.
Cisco ayrıca, kusurla ilişkili uzlaşma göstergeleri (IOCS) göstergeleri yayınladı ve başarılı sömürünün kök izinleri olan kök kullanıcı için “/var/log/aktif/syslog/secure” için bir günlük girişine neden olacağını belirtti. Günlük, komut satırı arabiriminden aşağıdaki komutu çalıştırarak alınabilir –
cucm1# file get activelog syslog/secure
Geliştirme, şirketin kimlik hizmetleri motorunda ve ISE pasif kimlik konnektöründe (CVE-2025-20281 ve CVE-2025-20282) iki güvenlik kusurunu düzeltmesinden günler sonra geliyor.