Angreifer können mit vergleichsweise wenig Aufwand auf Cisco Unified Communications Manager zugreifen und die volle Kontrolle über Systeme erlangen. Die Lücke wurde nun geschlossen. Außerdem gibt es noch Sicherheitsupdates für Application Delivery Platform, Enterprise Chat and Email und Spaces Connector.
Hintertür geschlossen
Den unbefugten Zugriff erlangen Angreifer durch das erfolgreiche Ausnutzen einer "kritischen" Sicherheitslücke (CVE-2025-20309) in Unified Communications Manager und Unified Communications Manager Session Management Edition. Sie ist mit dem höchstmöglichen CVSS Score 10 von 10 eingestuft. Davon sind konkret die Versionen 15.0.1.13010-1 bis einschließlich 15.0.1.13017-1 in allen Konfigurationen bedroht.
Der Zugriff erfolgt über einen Root-Account mit statischen SSH-Zugangsdaten, die nicht geändert werden können. Darüber können entfernte Angreifer ohne Authentifizierung zugreifen. Im Anschluss können sie Schadcode mit Root-Rechten ausführen. In so einem Fall gelten Instanzen in der Regel als vollständig kompromittiert. Cisco gibt an, dass der Account aus der Entwicklung stammt.
In einer Warnmeldung listen die Entwickler Hinweise (Indicator of Compromise, IOC) auf, an denen Admins bereits attackierte Systeme erkennen können. Cisco versichert, den Account in der Ausgabe 15SU3 (Jul 2025) geschlossen zu haben. Außerdem stellen sie einen Sicherheitspatch zum Download. Dem Netzwerkhersteller zufolge gibt es derzeit keine Hinweise, dass Angreifer die Schwachstelle ausnutzen.
Weitere Gefahren
Enterprise Chat and Email ist für eine XSS-Attacke anfällig (CVE-2025-20310 "mittel"). Die Ausgabe 12.6(1)_ES11 ist abgesichert. Für Ausgabe 11 gibt es keinen Support mehr. Hier ist ein Upgrade auf eine noch unterstütze Version notwendig. Version 15 ist nicht verwundbar. Auf Application Delivery Platform sind ebenfalls XSS-Attacken möglich (CVE-2025-20307 "mittel"). RI.2025.05 verfügt über einen Sicherheitspatch.
Authentifizierte Angreifer können sich über eine Lücke (CVE-2025-20308 "mittel) in Spaces Connector Root-Rechte aneignen. Dagegen ist Connector 3-Jun 2025 gerüstet.
(des)
English (US) ·