A bug keamanan kritis yang memengaruhi portofolio Unified Contact Center Enterprise (UCCE) Cisco dapat memungkinkan peningkatan hak istimewa dan pengambilalihan platform.
Cisco UCCE adalah platform layanan pelanggan lokal yang mampu mendukung hingga 24.000 agen layanan pelanggan menggunakan saluran yang menyertakan suara masuk , suara keluar, respons suara interaktif keluar (IVR), dan saluran digital. Ini juga menawarkan umpan balik melalui IVR pasca-panggilan, email, dan survei intersep web; dan berbagai opsi pelaporan untuk mengumpulkan informasi tentang kinerja agen untuk digunakan dalam menetapkan metrik dan menginformasikan intelijen bisnis.
Ini menghitung beberapa pemukul berat di antara penggunanya, termasuk T-Mobile USA, menurut situs web produk.
Bug yang dimaksud (CVE-2022- 20658) adalah salah satu yang sangat jahat, dengan peringkat kritis 9,6 dari 10 pada skala kerentanan-keparahan CVSS, dan dapat memungkinkan penyerang jarak jauh yang diautentikasi untuk meningkatkan hak istimewa mereka menjadi administrator, dengan kemampuan untuk membuat akun administrator lain.
It secara khusus ada di antarmuka manajemen berbasis web Cisco Unified Contact Center Management Portal (Unified CCMP) dan Cisco Unified Contact Center Domain Manager (Unified CCDM) dan berasal dari fakta bahwa server bergantung pada mekanisme otentikasi yang ditangani oleh sisi klien. Itu membuka pintu bagi penyerang yang memodifikasi perilaku sisi klien untuk melewati mekanisme perlindungan.
CCMP adalah alat manajemen yang memberi supervisor pusat kontak kemampuan untuk memindahkan, menambah, dan mengubah agen yang bekerja di berbagai area pusat kontak antara panggilan yang berbeda antrian, merek, lini produk, dan lainnya. CCDM adalah rangkaian komponen server (PDF) untuk manajemen back-end, termasuk otentikasi dan fungsi keamanan lainnya, alokasi sumber daya, dan database yang menyimpan informasi tentang semua sumber daya (seperti agen dan nomor yang dihubungi) dan tindakan yang diambil (seperti sebagai panggilan telepon dan perubahan status agen) di dalam sistem.
Berbekal akun admin tambahan, penyerang dapat mengakses dan memodifikasi telepon dan sumber daya pengguna di semua platform yang terkait dengan Cisco Unified CCMP yang rentan, Cisco memperingatkan. Seseorang dapat memperkirakan malapetaka operasional dan identitas merek yang dapat ditimbulkan oleh penyerang dengan melumpuhkan sistem layanan pelanggan perusahaan besar – belum lagi kerusakan yang dapat dilakukan dengan akses ke kumpulan data informasi pribadi yang harus disimpan oleh sistem di perusahaan ‘ pelanggan, termasuk komunikasi telepon dan email.
Ini juga tidak sulit untuk dieksploitasi: “Kerentanan ini disebabkan oleh kurangnya validasi sisi server dari izin pengguna,” Cisco menjelaskan dalam nasihat minggu ini. “Seorang penyerang dapat mengeksploitasi kerentanan ini dengan mengirimkan permintaan HTTP yang dibuat ke sistem yang rentan.”
Namun, untuk berhasil mengeksploitasi kerentanan, penyerang memerlukan kredensial “Pengguna Tingkat Lanjut” yang valid, sehingga bug perlu dirantai dengan yang lain untuk akses awal .
Ada tambalan yang tersedia untuk masalah ini, tetapi tidak ada solusi. Informasi patch adalah sebagai berikut:
<
ul>
<
ul>iVersion 12.0.1: Rilis tetap adalah 12.0.1 ES5liu
<
ul>iVersion 12.5.1: Rilis tetap adalah 12.5.1 ES5liu
- iVersion 12.6.1: Tidak terpengaruh
Tidak ada eksploitasi publik yang diketahui sejauh ini, menurut solusi pusat kontak raksasa jaringan.
Cisco telah menghadapi bug kritis sebelumnya. Misalnya, pada tahun 2020, bug penting dalam platform “pusat kontak dalam kotak”, Unified Contact Center Express, ditemukan memungkinkan eksekusi kode jarak jauh.
Password Reset: On-Demand Event: Fortify 2022 dengan keamanan sandi strategi yang dibangun untuk ancaman hari ini. Meja Bundar Keamanan Threatpost ini, dibuat untuk para profesional infosec, berpusat pada pengelolaan kredensial perusahaan, dasar-dasar sandi baru, dan mengurangi pelanggaran pasca-kredensial. Bergabunglah dengan Darren James, dengan Specops Software dan Roger Grimes, penginjil pertahanan di KnowBe4 dan pembawa acara Threatpost Becky Bracken. Daftar & streaming sesi GRATIS ini hari ini – disponsori oleh Specops Software.
Tulis komentar
Bagikan artikel ini:
- iKeamanan Web