Ozbiljna ranjivost u sistemima Cisco Unified Communications Manager (Unified CM) mogla bi omogućiti udaljenim napadačima da steknu pristup na nivou “root” (korijena) na pogođenim uređajima.
Ranjivost, označena kao CVE-2025-20309 s najvišim CVSS rezultatom od 10.0, pogađa Engineering Special izdanja i proizlazi iz kodiranih SSH vjerodajnica koje administratori ne mogu izmijeniti niti ukloniti.
Ključni zaključci:
* CVE-2025-20309 je kritična ranjivost (CVSS 10.0) s kodiranim SSH “root” vjerodajnicama u sistemima Cisco Unified CM.
* Ranjivi su samo Engineering Special izdanja 15.0.1.13010-1 do 15.0.1.13017-1 sistema Cisco Unified CM i Unified CM SME.
* Udaljeni napadači mogu pristupiti kao “root” bez autentifikacije, izvršavajući proizvoljne naredbe.
* Potrebno je primijeniti zakrpu ciscocm.CSCwp27755_D0247-1.cop.sha512 ili nadograditi na izdanje 15SU3; ne postoje alternativna rješenja.
Kritična ranjivost pristupa kao “root” (CVE-2025-20309)
Sigurnosni nedostatak pogađa Engineering Special izdanja 15.0.1.13010-1 do 15.0.1.13017-1 sistema Cisco Unified CM i Unified CM Session Management Edition (SME). Problem postoji zbog statičnih korisničkih vjerodajnica za “root” račun, koje su nenamjerno ostavljene u sistemu tokom faza razvoja. Ove vjerodajnice su klasifikovane pod CWE-798, što ukazuje na korištenje kodiranih vjerodajnica koje stvaraju mehanizam zaobilaženja autentifikacije.
Neautentifikovani udaljeni napadač može iskoristiti ovu ranjivost koristeći statične “root” vjerodajnice za uspostavljanje SSH veza s ugroženim sistemima. Jednom kada se uspješno autentifikuje, napadač stječe potpunu administrativnu kontrolu nad pogođenim uređajem, omogućavajući izvršavanje proizvoljnih naredbi s “root” ovlastima. Ranjivost ne zahtijeva nikakvu interakciju korisnika i može se iskoristiti daljinski bez ikakvih preduvjeta za autentifikaciju, što je čini posebno opasnom za organizacije s Unified CM implementacijama koje su izložene internetu.
Faktori rizika:
* Pogođeni proizvodi: Cisco Unified Communications Manager (Unified CM) – Cisco Unified Communications Manager Session Management Edition (Unified CM SME) – Engineering Special (ES) izdanja 15.0.1.13010-1 do 15.0.1.13017-1.
* Utjecaj: Udaljeni napadač može se prijaviti kao “root” korisnik – Izvršavati proizvoljne naredbe s “root” ovlastima.
* Preduvjeti za iskorištavanje: Nije potrebna autentifikacija – Udaljeni mrežni pristup pogođenom sistemu – Poznavanje statičnih SSH vjerodajnica – Nije potrebna interakcija korisnika.
* CVSS 3.1 rezultat: 10.0 (Kritično).
Strategije ublažavanja
Organizacije mogu identificirati potencijalne pokušaje iskorištavanja nadziranjem sistemskih dnevnika (logova) radi neovlaštenog pristupa kao “root”. Cisco preporučuje pregled datoteke /var/log/active/syslog/secure koristeći naredbu `cucm1# file get activelog syslog/secure` kako bi se otkrili pokazatelji kompromitacije. Sumnjivi unosi u dnevniku prikazat će uspješne pokušaje prijave putem SSH od strane “root” korisnika, zajedno s porukama o autentifikaciji sistema `systemd` i `sshd` koje pokazuju uspostavljanje sesije za korisnika `root` s UID 0.
Cisco je objavio ažuriranja softvera koja rješavaju ovu ranjivost, a fiksna izdanja dostupna su kroz izdanje 15SU3 planirano za juli 2025. Alternativno, administratori mogu primijeniti hitnu zakrpu `ciscocm.CSCwp27755_D0247-1.cop.sha512` na ugrožene sisteme. Važno je napomenuti da je Cisco potvrdio da ne postoje alternativna rješenja za ovu ranjivost, čineći hitno zakrpljavanje ili ažuriranje sistema jedinom efektivnom strategijom ublažavanja. Organizacije bi trebale dati prioritet trenutnom ažuriranju pogođenih sistema, budući da se Engineering Special izdanja obično implementiraju u produkcijskim okruženjima koja zahtijevaju poboljšanu stabilnost i sigurnost.
Cisco je objavio ovo upozorenje o kritičnoj sigurnosnoj ranjivosti u svojim sistemima Unified Communications Manager (Unified CM), koja je otkrivena i dokumentirana kao CVE-2025-20309. Informacija je objavljena na njihovom službenom sigurnosnom savjetniku, dostupnom putem linka sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-ssh-m4UBdpE7. Kompanija je navela da je ova ranjivost izuzetno ozbiljna, s maksimalnim CVSS rezultatom od 10.0, što ukazuje na najviši mogući nivo rizika.
Problem se odnosi na specifična “Engineering Special” izdanja sistema Unified CM i Unified CM Session Management Edition (SME), tačnije verzije od 15.0.1.13010-1 do 15.0.1.13017-1. Uzrok ranjivosti leži u tome što su u sistem ostavljene kodirane (hardcoded) SSH vjerodajnice za “root” korisnika, koje administratori ne mogu promijeniti niti ukloniti. Ove statične vjerodajnice omogućavaju napadačima da, bez potrebe za autentifikacijom, uspostave SSH vezu s ugroženim uređajem. Nakon uspješnog povezivanja, napadač dobija punu kontrolu nad uređajem kao “root” korisnik, što mu omogućava izvršavanje bilo koje željene naredbe.
Metodologija napada je jednostavna i efikasna: napadač koristi poznate, fiksne SSH kredencijale kako bi se neovlašteno prijavio na sistem. Ovo je slično scenariju gdje bi neko ukucao unaprijed poznatu lozinku za ulazak u zgradu umjesto da je traži. Budući da su ove informacije stalno dostupne i ne zahtijevaju od napadača da ih prvo otkrije (kao što bi bio slučaj kod ciljanog “phishinga” ili preuzimanja lozinki), izloženost je značajna. Napad se može izvesti sa bilo koje udaljene lokacije koja ima mrežni pristup pogođenom sistemu, a ne zahtijeva interakciju korisnika. To znači da napadač ne treba nikoga “varati” ili uvjeravati da klikne na link ili otvori datoteku. Upozorenje Cisco naglašava da ne postoje kompromisna rješenja (workarounds), te je jedina efektivna zaštita primjena zakrpe (patch) ili nadogradnja na sigurnije izdanje softvera, kao što je 15SU3.