Vulnerabilidad en autenticación de Cisco Personal Assistant
La compañía Cisco ha detectado que su producto Personal Assistant puede
permitir el acceso sin autorización a usuarios a través del interfaz web.
Una vez se ha conseguido dicho acceso, pueden manipularse las
preferencias y configuración general del usuario, con lo que un usuario
malicioso podría modificar redirecciones de teléfono en su provecho.
Cisco Personal Assistant es una aplicación basada en Microsoft Windows 2000
que forma parte de la solución AVVID (Architecture for Voice, Video and
Integrated Data) y ayuda a sus usuarios a la hora de determinar cómo y
dónde se puede contactar con ellos.
La vulnerabilidad es
explotable si se presentan estas dos condiciones:
1. El
administrador de Personal Assistant ha activado la opción de Allow Only
Cisco CallManager Users en System- Miscallenous Settings (por defecto,
esta opción no está activa).
2. La configuración de
Personal Assistant Corporate Directory hace referencia al mismo servicio
de directorio que es utilizado por Cisco CallManager.
Si estas
dos condiciones se cumplen, la autenticación por clave de Personal
Assistant se desactiva, lo que permitirá a cualquiera que tenga un
identificador de usuario válido entrar sin conocer la clave asociada.
Un atacante puede aprovechar este acceso de manera que, si modifica la
configuración de un usuario, puede cambiar las redirecciones de llamadas
para, por ejemplo, intentar suplantar a alguien o para apuntar a un
número de teléfono de tarificación especial.
Esta
vulnerabilidad no afecta al acceso a Personal Assistant a través del
interfaz telefónico.
Este problema afecta a las versiones
1.4 del producto, ya que versiones anteriores como la 1.3 no lo
reproducen. Para comprobar la versión de Personal Assistant que está
utilizando siga los siguientes pasos:
1. Conecte al Personal
Assistant por el interfaz web
2. Vaya a Help- About Cisco Personal
Assistant
3. Pulse el botón de Detalles y aparecerá una ventana con
el número de versión completo
Para eliminar la
vulnerabilidad basta con desactivar la selección del checkbox Allow
Only Cisco CallManager Users en la página System- Miscellaneous
Settings del sitio web de administración de Personal Assistant.
