A Cisco Systems két rendkívül súlyos sebezhetőséget hozott nyilvánosságra a Cisco Unified Contact Center Express (UCCX) megoldásában, amelyek távoli, hitelesítés nélküli támadóknak teszik lehetővé a rendszer teljes átvételét.
Mivel az UCCX az ügyfélkommunikáció központi eleme, és gyakran tartalmaz érzékeny személyes és vállalati adatokat, ezek a hibák kritikus kockázatot jelentenek minden érintett szervezet számára.
🧩 A sebezhetőségek részletei
| CVE | Leírás | CVSS | Hatás |
|---|---|---|---|
| CVE-2025-20354 | Távoli kódfuttatási hiba (RCE) a Java Remote Method Invocation (RMI) folyamatban. A támadó speciális fájlt tölthet fel, amellyel tetszőleges parancsokat hajthat végre root jogosultsággal. Az ok: hibás hitelesítés az RMI-funkciókban. | 9.8 (kritikus) | Root-szintű kódfuttatás, teljes rendszerátvétel |
| CVE-2025-20358 | Hitelesítési megkerülés a CCX Editor alkalmazásban: a támadó átirányíthatja a hitelesítési folyamatot egy hamis szerverre, és adminisztratív jogosultságot szerezhet script-készítésre és végrehajtásra. | 9.4 (kritikus) | Jogosulatlan admin-hozzáférés, script-futtatás |
„A két hiba egymástól függetlenül is kihasználható.” – Cisco
🧠 Miért különösen veszélyes
A sebezhetőségek nem igényelnek hitelesítést, távolról kihasználhatók, és minimális felhasználói interakciót igényelnek.
A támadó így:
- feltölthet kártékony fájlokat az RMI-interfészen keresztül,
- root jogosultságot szerezhet,
- módosíthatja a hívásfolyamatokat,
- hozzáférhet érzékeny ügyféladatokhoz,
- vagy akár ransomware-t telepíthet.
A két hiba együtt egy láncolt támadást tesz lehetővé:
1️⃣ Belépés az RMI-interfészen keresztül (CVE-20354)
2️⃣ Jogosultságnövelés a CCX Editor megkerülésével (CVE-20358)
→ teljes és tartós rendszerirányítás.
📊 Hatás és kockázat
Fő kockázati tényezők:
- Széles körű elérhetőség: ha az RMI vagy az Editor interfész nincs megfelelően szeparálva, a támadási felület nyitott.
- Adatérzékenység: az UCCX nagy mennyiségű ügyféladatot kezel – GDPR és reputációs kockázat.
- Működési hatás: egy támadó leállíthatja vagy manipulálhatja az ügyfélszolgálatot.
- Gyors kihasználhatóság: a támadás egyszerű, így a PoC megjelenése után perceken belül kihasználható.
Cisco szerint még nincs ismert aktív támadás, de ez az ablak átmeneti.
🧰 Szükséges intézkedések
1️⃣ Azonnali frissítés
- 12.5 SU3 és korábbi → frissítés 12.5 SU3 ES07 verzióra
- 15.0 verzió → frissítés 15.0 ES01 verzióra
2️⃣ Hálózati izolálás
- Korlátozd az RMI és Editor interfészek elérését csak belső, megbízható hálózatokból.
- Ellenőrizd az ACL-eket és tűzfalszabályokat.
3️⃣ Kitettség-audit
- Azonosítsd, hol fut UCCX és van-e külső elérhetőség.
- Vizsgáld meg az admin-felületek szegmentációját.
4️⃣ Monitoring és naplózás
- Figyeld az RMI-fájlfeltöltéseket, a script-szerkesztéseket és a szokatlan admin-műveleteket.
- Gyűjts naplókat, és állíts be anomália-riasztásokat.
5️⃣ Incidenskezelési felkészültség
- Készíts teljes mentést és helyreállítási tervet.
- Legyen forenzikus vizsgálati protokoll root-szintű kompromittálódás esetére.
6️⃣ Threat-intel figyelés
- Kövesd a CISA és Cisco advisories-t; ha PoC vagy exploit kód megjelenik, növeld a készenlétet.
🔍 Kapcsolódó Cisco hibák (összefüggő kockázatok)
- CVE-2025-20343 – Denial of Service a Cisco Identity Services Engine (ISE)-ben
- CVE-2025-20374-77 – Privilege escalation, adat- és fájl-hozzáférési hibák a Contact Center komponensekben
- 2025 szeptemberében a CISA már vészriasztást adott ki két Cisco-tűzfal 0-day miatt
Ezek a trendek azt mutatják, hogy a Cisco együttműködési és biztonsági termékei egyre gyakrabban kerülnek célkeresztbe.
💡 Kontextus – a vállalati IT-biztonság dilemmája
Az UCCX-hez hasonló rendszerek komplex, Java-alapú architektúrái már nem illenek a modern, zero-trust hálózati világba.
A legacy komponensek (RMI) továbbra is gyenge pontot jelentenek.
Az IT-vezetők nehéz döntés előtt állnak:
az üzemidő fenntartása kontra azonnali patch.
De a kihasználás sebessége miatt az utóbbi ma már nem választható, hanem kötelező.
🧭 Összegzés
Az UCCX sebezhetőségek (CVE-2025-20354 és CVE-2025-20358) ideális támadási kombinációt alkotnak:
- hitelesítés nélküli hozzáférés,
- távoli kódfuttatás,
- root-szintű következmény,
- széles telepítési bázis.
A fenyegetés valós, az időablak szűk, és az inaktivitás ára hatalmas.
