Una vez se ha conseguido dicho acceso, pueden manipularse las
preferencias y configuración general del usuario, con lo que un usuario
malicioso podría modificar redirecciones de teléfono en su provecho.
Cisco Personal Assistant es una aplicación basada en Microsoft Windows 2000
que forma parte de la solución AVVID (Architecture for Voice, Video and
Integrated Data) y ayuda a sus usuarios a la hora de determinar cómo y
dónde se puede contactar con ellos.
La vulnerabilidad es
explotable si se presentan estas dos condiciones:
1. El
administrador de Personal Assistant ha activado la opción de Allow Only
Cisco CallManager Users en System- Miscallenous Settings (por defecto,
esta opción no está activa).
2. La configuración de
Personal Assistant Corporate Directory hace referencia al mismo servicio
de directorio que es utilizado por Cisco CallManager.
Si estas
dos condiciones se cumplen, la autenticación por clave de Personal
Assistant se desactiva, lo que permitirá a cualquiera que tenga un
identificador de usuario válido entrar sin conocer la clave asociada.
Un atacante puede aprovechar este acceso de manera que, si modifica la
configuración de un usuario, puede cambiar las redirecciones de llamadas
para, por ejemplo, intentar suplantar a alguien o para apuntar a un
número de teléfono de tarificación especial.
Esta
vulnerabilidad no afecta al acceso a Personal Assistant a través del
interfaz telefónico.
Este problema afecta a las versiones
1.4 del producto, ya que versiones anteriores como la 1.3 no lo
reproducen. Para comprobar la versión de Personal Assistant que está
utilizando siga los siguientes pasos:
1. Conecte al Personal
Assistant por el interfaz web
2. Vaya a Help- About Cisco Personal
Assistant
3. Pulse el botón de Detalles y aparecerá una ventana con
el número de versión completo
Para eliminar la
vulnerabilidad basta con desactivar la selección del checkbox Allow
Only Cisco CallManager Users en la página System- Miscellaneous
Settings del sitio web de administración de Personal Assistant.
Los usuarios denunciaban que la compañía los había rastreado incluso cuando usaban el modo privado…
El Instituto Valenciano de Competitividad Empresarial financiará aquellas iniciativas que puedan solucionar incertidumbres científicas o…
Solo en el cuarto trimestre las empresas emergentes del país han levantado 1.500 millones de…
La región tiene 13 scaleups y destaca por sus empresas emergentes de salud y agrotech.
Valencia ha atraído en el primer semestre del año 30 millones de euros de inversión…
El diario estadounidense demanda a las dos compañías tecnológicas por haber usado sus contenidos para…