Cisco Unified CDM有後門漏洞！

思科（Cisco）在安全通告中表示，旗下的Unified Communications Domain Manager（Cisco Unified CDM）含有3個安全漏洞，其中一個漏洞原本是為了方便思科進行客戶服務所留的後門，然而一旦被濫用，所有客戶的系統都會遭殃。

Unified Communications Domain Manager為一企業專用的通訊管理軟體平台，可自動化管理Cisco Unified Communications Manager、 Cisco Unity Connection及Cisco Jabber等應用程式，以及相容的手機或客戶端軟體。思科於該軟體平台上發現了3個安全漏洞，分別是權限擴張漏洞、預設SSH金鑰漏洞，以及BVSMWeb擅自操作資料漏洞等。

其中，權限擴張漏洞是因管理介面的認證與授權控制部署不當，讓駭客能夠更改使用者的管理憑證，但駭客必須先以有效的使用者身份登入才行。而預設SSH金鑰漏洞源自於SSH私密金鑰是以不安全的方式儲存於系統上，使得駭客有機會取得SSH私密金鑰，並得以最高權限存取系統，被視為非常危險的漏洞。

美國系統網路安全研究院（SANS Institute）指出，思科為了方便提供客戶支援，在系統上留了一個後門，於所有的系統上配備同樣的金鑰，由於該金鑰也存在於客戶的系統上，代表擁有該系統的人，就擁有能夠存取所有其他系統的金鑰。SANS還認為這應該是會最先被攻擊的漏洞。

本周思科已釋出更新程式修補權限擴張及預設SSH金鑰漏洞。至於BVSMWeb擅自操作資料漏洞則可允許駭客存取或修改BVSMWeb入口網站的使用者資訊，諸如個人手機目錄中的設定、快速播號或快速鍵或轉接等設定，思科表示會儘快修補該漏洞。（編譯/陳曉莉）