Cisco ha advertido a los clientes sobre vulnerabilidades críticas en su producto Smart Licensing Utility, instándolos a aplicar actualizaciones de software para protegerse contra ataques. Las dos vulnerabilidades, que no dependen una de la otra, podrían permitir que un atacante remoto no autenticado recopile información confidencial o administre servicios de Cisco Smart Licensing Utility en un sistema mientras el software está en ejecución. Cada una tiene una puntuación CVSS de 9,8, lo que les otorga una calificación crítica. No existen soluciones alternativas que aborden estas vulnerabilidades, lo que significa que los clientes deben aplicar nuevas actualizaciones de software proporcionadas por Cisco para evitar su explotación. Las vulnerabilidades afectan a las versiones 2.0.0, 2.1.0 y 2.2.0 de Cisco Smart Licensing Utility. Cisco dijo que no tiene conocimiento de ninguna explotación maliciosa de estas vulnerabilidades a partir del 4 de septiembre de 2024. Cisco Smart License Utility Manager es una aplicación basada en Windows que permite a los clientes administrar licencias y sus instancias de producto asociadas desde sus instalaciones. Cómo se pueden explotar las vulnerabilidades La primera vulnerabilidad destacada, CVE-2024-20439, puede permitir que un atacante remoto use una credencial administrativa estática para iniciar sesión en un sistema afectado. Esta falla se debe a una credencial de usuario estática no documentada para una cuenta administrativa. Una explotación exitosa podría permitir que el atacante inicie sesión en el sistema afectado con privilegios administrativos sobre la interfaz de programación de aplicaciones (API) de la aplicación Cisco Smart Licensing Utility. La segunda vulnerabilidad enumerada, CVE-2024-20440, puede permitir que un atacante no autenticado acceda a información confidencial enviando una solicitud HTTP diseñada a un dispositivo afectado. Esto se debe a la verbosidad excesiva en un archivo de registro de depuración. Una explotación exitosa podría permitir que el atacante obtenga archivos de registro que contienen datos confidenciales, incluidas las credenciales que se pueden usar para acceder a la API. Cisco señaló que estas vulnerabilidades no son explotables a menos que un usuario haya iniciado Cisco Smart Licensing Utility y esté ejecutándose activamente. Los productos de Cisco en la mira de los Estados-nación Cisco ha destacado varias campañas de actores de amenazas de estados-nación que han apuntado a vulnerabilidades en sus productos en lo que va de 2024. En abril, la firma destacó una sofisticada campaña de ciberespionaje denominada ArcaneDoor por un actor patrocinado por un estado, que explotó dos vulnerabilidades en las plataformas de firewall de Cisco. Cisco también reveló en julio que había parcheado una vulnerabilidad de día cero explotada por actores respaldados por estados chinos para comprometer los conmutadores Cisco Nexus. Crédito de la imagen: CryptoFx / Shutterstock.com