Vulnerabilidad en autenticación de Cisco Personal Assistant

La compañía Cisco ha detectado que su producto Personal Assistant puede
permitir el acceso sin autorización a usuarios a través del interfaz web.

Una vez se ha conseguido dicho acceso, pueden manipularse las

preferencias y configuración general del usuario, con lo que un usuario

malicioso podría modificar redirecciones de teléfono en su provecho.

Cisco Personal Assistant es una aplicación basada en Microsoft Windows 2000

que forma parte de la solución AVVID (Architecture for Voice, Video and

Integrated Data) y ayuda a sus usuarios a la hora de determinar cómo y

dónde se puede contactar con ellos.

La vulnerabilidad es

explotable si se presentan estas dos condiciones:

1. El

administrador de Personal Assistant ha activado la opción de Allow Only

Cisco CallManager Users en System- Miscallenous Settings (por defecto,

esta opción no está activa).

2. La configuración de

Personal Assistant Corporate Directory hace referencia al mismo servicio

de directorio que es utilizado por Cisco CallManager.

Si estas

dos condiciones se cumplen, la autenticación por clave de Personal

Assistant se desactiva, lo que permitirá a cualquiera que tenga un

identificador de usuario válido entrar sin conocer la clave asociada.

Un atacante puede aprovechar este acceso de manera que, si modifica la

configuración de un usuario, puede cambiar las redirecciones de llamadas

para, por ejemplo, intentar suplantar a alguien o para apuntar a un

número de teléfono de tarificación especial.

Esta

vulnerabilidad no afecta al acceso a Personal Assistant a través del

interfaz telefónico.

Este problema afecta a las versiones

1.4 del producto, ya que versiones anteriores como la 1.3 no lo

reproducen. Para comprobar la versión de Personal Assistant que está

utilizando siga los siguientes pasos:

1. Conecte al Personal

Assistant por el interfaz web

2. Vaya a Help- About Cisco Personal

Assistant

3. Pulse el botón de Detalles y aparecerá una ventana con

el número de versión completo

Para eliminar la

vulnerabilidad basta con desactivar la selección del checkbox Allow

Only Cisco CallManager Users en la página System- Miscellaneous

Settings del sitio web de administración de Personal Assistant.