Cisco: vulnerabilità grave in Smart Software Manager On-Prem permette di cambiare qualsiasi password

Cisco ha recentemente reso nota una grave falla di sicurezza a carico di Smart Software Manager On-Prem e tracciata con il codice CVE-2024-20419. Si tratta di una vulnerabilità classificata con livello di gravità 10 e che consente ad un aggressore di cambiare le password di qualsiasi account, inclusi quelli di amministrazione, senza necessità di autenticazione.

Smart Software Manager On-Prem di Cisco è uno strumento che viene installato localmente per la gestione delle licenze dei dispositivi Cisco, che rappresenta un'altrernativa ideale per coloro i quali non gradiscono le soluzioni in cloud. Nel contesto del sistema Cisco Smart Licensing, SSM On-Prem aiuta i provider di servizi e i partner Cisco nella gestione degli account dei clienti e delle licenze dei prodotti. La falla ha un impatto anche sulle installazioni SSM On-Prem precedenti alla Release 7.0, note come Cisco Smart Software Manager Satellite (SSM Satellite): si tratta dello stesso software, che semplicemente ha cambiato nome dalla versione 7.0 in poi.

La vulnerabilità ha origine da un'errata implementazione del processo di modifica della password che gli aggressori possono sfruttare inviando richieste HTTP manipolate, ottenendo così l'accesso all'interfaccia web o all'API con i permessi dell'account compromesso, senza la necessità di conoscere le credenziali originali.

Le conseguenze di un accesso non autorizzato non sono del tutto chiare, ma l'ipotesi più probabile è che un aggressore potrebbe in questo modo avere la possibilità di accedere ad altri dispositivi Cisco connessi, con conseguente rischio di furto di informazioni, crittografia di archivi o altro genere di azioni dannose.

Cisco sottolinea che al momento non esistono soluzioni temporanee per poter mitigare il problema, che può essere risolto solamente con l'applicazione della patch correttiva che la società stessa ha rilasciato. Al momento non sono note situazioni di sfruttamento attivo della vulnerabilità, ma come sempre è bene ricordare che l'assenza della prova non è uguale alla prova dell'assenza. Maggiori informazioni sul bollettino di sicurezza rilasciato da Cisco.