Une faille de Cisco CUCM exploitée moins de 24 heures après sa divulgation

Une vulnérabilité Cisco récemment divulguée, affectant Unified Communications Manager, a rapidement attiré l’attention des attaquants, des rapports indiquant que son exploitation a commencé moins d’un jour après que le problème a été rendu public.

La faille affecte les déploiements Cisco Unified CM et Unified CM SME et peut être exploitée pour réaliser une falsification de requête côté serveur (SSRF). En plus de permettre l’envoi de requêtes depuis le serveur vulnérable, cette faille peut également être exploitée pour obtenir des privilèges de niveau root, ce qui crée un risque de prise de contrôle complète des systèmes concernés.

Cisco Unified CM est largement utilisé comme plateforme centrale de contrôle des appels dans les environnements de téléphonie d’entreprise, ce qui rend les faiblesses de sécurité de ce produit particulièrement sensibles. Lorsqu’une faille combine une SSRF et une élévation de privilèges, les attaquants peuvent être en mesure de passer d’un accès limité à un contrôle plus approfondi de l’appliance ou du serveur sous-jacent.

Les équipes de sécurité doivent considérer la situation comme urgente, en particulier dans les environnements qui exposent des interfaces d’administration ou qui s’appuient sur des services accessibles depuis Internet et liés à des déploiements CUCM. Même lorsqu’une vulnérabilité n’est pas directement exposée à l’extérieur, une SSRF peut parfois être utilisée pour atteindre des ressources ou des services internes qui seraient autrement difficiles d’accès.

Ce que les organisations doivent faire

• Consulter les recommandations de sécurité de Cisco pour Unified CM et Unified CM SME.
• Vérifier si des déploiements concernés sont présents dans l’environnement.
• Appliquer la correction fournie par l’éditeur dès qu’elle est disponible.
• Restreindre l’accès aux interfaces d’administration et de gestion.
• Surveiller les schémas de requêtes inhabituels, les changements de privilèges ou les signes d’accès non autorisé.

La rapidité de l’exploitation met en évidence un schéma bien connu de la sécurité des entreprises : dès que des failles à fort impact sont rendues publiques, les attaquants s’empressent souvent de les transformer en armes avant que de nombreuses organisations aient eu le temps de réagir. Pour les infrastructures de communication, où la disponibilité et la confiance sont essentielles, cette fenêtre peut être particulièrement risquée.