Cisco ha advertido a los administradores que parcheen una vulnerabilidad crítica de Cisco Smart Licensing Utility (CSLU), que expone una cuenta de administrador de puerta trasera integrada que ahora se utiliza en ataques.

CSLU es una aplicación de Windows para la gestión de licencias y productos vinculados en las instalaciones sin conectarlos a la solución Smart Software Manager de Cisco basada en la nube.

Cisco parcheó este fallo de seguridad (CVE-2024-20439) en septiembre, describiéndolo como "una credencial de usuario estática no documentada para una cuenta administrativa" que permite a los atacantes no autenticados iniciar sesión en sistemas no parcheados de forma remota con privilegios de administrador a través de la API de la aplicación Cisco Smart Licensing Utility (CSLU).

CVE-2024-20439 sólo afecta a los sistemas que ejecutan versiones vulnerables de Cisco Smart Licensing Utility, pero sólo es explotable si el usuario inicia la aplicación CSLU (que no se ejecuta en segundo plano por defecto).

El investigador de amenazas de Aruba, Nicholas Starke, realizó ingeniería inversa de la vulnerabilidad dos semanas después de que Cisco lanzara los parches de seguridad y publicó un escrito con detalles técnicos (incluyendo la contraseña estática hardcoded descifrada).

"En marzo de 2025, el Equipo de Respuesta a Incidentes de Seguridad de Productos de Cisco (PSIRT) tuvo conocimiento de un intento de explotación de esta vulnerabilidad en la naturaleza", dijo la compañía en una actualización del martes al aviso de seguridad original. "Cisco sigue recomendando encarecidamente que los clientes actualicen a una versión de software fija para remediar esta vulnerabilidad".

Encadenado con una segunda vulnerabilidad

Aunque Cisco no compartió ningún detalle sobre estos ataques, Johannes Ullrich, decano de investigación del SANS Technology Institute, detectó el mes pasado una campaña que utilizaba la cuenta de administrador de puerta trasera para atacar instancias de CSLU expuestas en línea.

Ullrich dijo en marzo que los actores de amenazas están encadenando CVE-2024-20439 con un segundo defecto, una vulnerabilidad crítica de divulgación de información CLSU (CVE-2024-20440) que los atacantes no autenticados pueden explotar para obtener acceso a archivos de registro que contienen datos confidenciales (incluyendo credenciales de API) mediante el envío de peticiones HTTP crafteadas a dispositivos vulnerables.

"Una búsqueda rápida no mostró ninguna explotación activa [en ese momento], pero los detalles, incluidas las credenciales de la puerta trasera, se publicaron en un blog de Nicholas Starke poco después de que Cisco publicara su aviso. Así que no es de extrañar que estemos viendo alguna actividad de explotación", dijo Ullrich.

El lunes, CISA añadió la vulnerabilidad de credenciales estáticas CVE-2024-20439 a su Catálogo de Vulnerabilidades Explotadas Conocidas, ordenando a las agencias federales de EE.UU. que aseguren sus sistemas contra la explotación activa en un plazo de tres semanas, antes del 21 de abril.

Esta no es la primera cuenta de puerta trasera eliminada de los productos de Cisco en los últimos años, con credenciales codificadas anteriores encontradas en su IOS XE, Wide Area Application Services (WAAS), Digital Network Architecture (DNA) Center, y el software Emergency Responder.

Fuente: bleepingcomputer