Kritisk sårbarhed i Cisco Unified CM og Cisco Unified CM SME

Der er blevet observeret en kritisk sårbarhed i Cisco Unified Communications Manager (Unified CM) og Cisco Unified Communications Manager Session Management Edition (Unified CM SME). 

Det skriver en række medier, herunder Bleeping Computer og Security Affairs, baseret på en advisory fra Cisco.

Sårbarheden kan give en uauthenticeret fjernaktør muligheden for at logge ind på en berørt enhed ved hjælp af root-kontoen, som har standard, statiske legitimationsoplysninger, der ikke kan ændres eller slettes.

Sårbarheden har id’et EUVD-2025-19749 (CVE-2025-20309) og en CVSS-score på 10,0.

De berørte systemer er Cisco Unified CM og Unified CM SME Engineering Special (ES) versioner 15.0.1.13010-1 til 15.0.1.13017-1, uanset enhedens konfiguration.

Sårbarheden skyldes tilstedeværelsen af statiske brugerkonti for root-kontoen, som er forbeholdt brug under udvikling. En ondsindet aktør kan udnytte sårbarheden ved at bruge kontoen til at logge ind på et berørt system og derfra afvikle vilkårlige kommandoer som root-bruger.

Det anbefales at opdatere de sårbare installationer med det samme. Der er ikke rapporteret om udnyttelser.