CVE-2024-20439criticalbajo ataqueCWE-912

CVE-2024-20439: fallo crítico en Cisco Smart License Utility

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Cisco Smart License Utility+ Monitorear Smart Licensing Utility

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

95Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 97%
de la publicación al arma
Publicada en NVD4 sept
CISA KEV+208d
Acción exigida por CISAplazo federal: 2025-04-21

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Cisco Smart Licensing Utility tiene una contraseña de administrador predeterminada oculta que cualquier persona en internet puede usar para iniciar sesión y controlar completamente el sistema sin necesidad de credenciales legítimas.

Detalle técnico

CVE-2024-20439 explota una credencial administrativa estática y no documentada en el mecanismo de autenticación del CSLU (CWE-912: Funcionalidad Oculta). Un atacante remoto no autenticado puede aprovechar esta credencial hardcoded a través de la API de la aplicación para obtener acceso administrativo sin requerir autenticación o autorización previa. La explotación exitosa otorga control administrativo total sobre la aplicación CSLU y sus puntos finales de API.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A vulnerability in Cisco Smart Licensing Utility (CSLU) could allow an unauthenticated, remote attacker to log into an affected system by using a static administrative credential. This vulnerability is due to an undocumented static user credential for an administrative account. An attacker could exploit this vulnerability by using the static credentials to login to the affected system. A successful exploit could allow the attacker to login to the affected system with administrative rights over the CSLU application API.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Cisco · Cisco Smart License Utility
CVEs relacionadas — Cisco Smart License Utility

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-20440HIGHCVE-2024-20440EPSS 51.9%