Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-798
  • CWE-912

CVE-2024-20439

Cisco Smart Licensing Utility'de sabit yönetici kimlik bilgisi zafiyeti

Cisco Smart License Utility

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
783 gün
Kaydı açan
cisco
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 31 Mar 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 21 Nis 2025.

Yönetici özeti

Cisco lisans yönetim aracında herkesin bilebileceği sabit bir yönetici şifresi bulunuyor ve bu açık şu anda saldırganlar tarafından kullanılıyor. Etkilenen sürümü kullanan kurumlarda yetkisiz kişiler lisans sistemini yönetici olarak ele geçirebilir. Bu nedenle yama ve önlemler gecikmeden uygulanmalıdır.

ÖzetTürkçe

Cisco Smart Licensing Utility (CSLU) içinde belgelenmemiş, sabit tanımlı bir yönetici hesabı bulunuyor. Kimliği doğrulanmamış uzaktaki bir saldırgan bu sabit kimlik bilgisini kullanarak sisteme giriş yapabilir. Zafiyet 2.0.0, 2.1.0 ve 2.2.0 sürümlerini etkiliyor. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine 2025-03-31 tarihinde eklenmiştir ve aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Saldırgan, CSLU uygulamasının API'si üzerinde yönetici yetkileriyle oturum açabilir. Bu da gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.

Kaynaktaki açıklama (İngilizce)

A vulnerability in Cisco Smart Licensing Utility (CSLU) could allow an unauthenticated, remote attacker to log into an affected system by using a static administrative credential.

This vulnerability is due to an undocumented static user credential for an administrative account. An attacker could exploit this vulnerability by using the static credentials to login to the affected system. A successful exploit could allow the attacker to login to the affected system with administrative rights over the CSLU application API.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Cisco'nun güvenlik bildiriminde yer alan düzeltilmiş sürüme geçin; etkilenen Cisco Smart License Utility 2.0.0, 2.1.0 ve 2.2.0 sürümlerini güncelleyin. Genel öneri
  2. CISA KEV gereği: Üreticinin talimatlarına göre önlemleri uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler mümkün değilse ürünün kullanımını bırakın. CISA
  3. Güncelleme yapılana kadar CSLU'ya ağdan erişimi güvenilir yönetim ağlarıyla sınırlayın ve internetten erişilebilirliğini kapatın. Genel öneri

Ek önlemler

  • CSLU'nun API'sine yapılan oturum açma girişlerini ve yönetici işlemlerini inceleyerek olası istismar izlerini araştırın. Genel öneri
  • CSLU kurulu sunucuları güvenlik duvarı ile segmentlere ayırın ve yalnızca gerekli sistemlerin erişmesine izin verin. Genel öneri
  • Güvenlik ihlali şüphesi varsa sunucudaki lisans ve yapılandırma verilerini doğrulayın ve ilgili kimlik bilgilerini yenileyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Cisco Smart License Utility 2.1.0 –
2.0.0 –
2.2.0 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.