Patch für Unified CM verfügbar Cisco wird fest kodierte Admin-Zugangsdaten nicht mehr los

Cisco warnt vor einer kritischen Sicherheitslücke, die Zugriff auf Root-Kon­ten in Unified CM ermöglicht. Das Problem: Die fest kodierten Zugangs­daten sind nicht entfernbar. Experten befürchten in der Backdoor mehr als nur ein Entwicklerversehen, was der Hersteller jedoch dementiert.

Cisco warnt vor einer maximal kritischen Sicherheitslücke in den Produkten Unified Com­munications Manager (Unified CM) und Unified Communications Manager Session Manage­ment Edition (Unified CM SME). Dies sind die Lösungen des Netzwerkexperten für die zentrale Steuerung von IP-Telefon­sys­temen. Die Schwachstelle erhielt die CVE-ID CVE-2025-20309 und den höchsten CVSS-Score 10.0.

Security-Insider Podcast – Folge 86

Backdoor in xz-Tools erschüttert die IT-Welt

Statische Anmeldedaten für Root-Konto

Dem Hersteller zufolge basiert die Sicherheitslücke auf statischen Anmeldeinformationen für ein Root-Konto, das für die Entwicklung reserviert ist. Da diese Anmeldeinformationen nicht geändert oder gelöscht werden können, steht Cisco hier vor einem dicken Problem.

Denn ein Angreifer kann sich ganz einfach mit dem Root-Konto bei einem betroffenen Gerät anmelden. So hätte er volle Kontrolle über das System und er kann Malware oder Backdoors einbauen, Nutzerdaten wie Telefonnummern und Gesprächsinhalte oder sensible Daten wie Passwörter oder Konfigurationsdateien stehlen. Da die Anmeldedaten für das Root-Konto fest kodiert sind, können Cyberkriminelle zum einen remote angreifen und zum anderen benötigen sie keine Authentifizierung, sie haben ja die Anmeldedaten.

Update: Kein Sicherheitsrisiko

Versteckte Kommandos in Bluetooth-Chip sorgen für Aufregung

Konkret von CVE-2025-20309 betroffen sind folgende Produkte und Versionen:

• Cisco Unified CM Versionen 15.0.1.13010-1 bis 15.0.1.13017-1, unabhängig von der Gerätekonfiguration

• Cisco Unified CM SME Engineering Special Versionen 15.0.1.13010-1 bis 15.0.1.13017-1, unabhängig von der Gerätekonfiguration

Der Hersteller hat einen Patch für die Schwachstelle veröffentlicht, den Kunden schnellst­möglich aufspielen sollten. Einen Workaround gibt es nicht. Cisco weist darauf hin, dass die Engineering-Special-Versionen begrenzte Fix-Versionen sind, die ausschließlich über das Technical Assistance Center von Cisco verteilt werden, nicht über das Download Center. Hinweise auf eine aktive Ausnutzung von CVE-2025-20309 gibt es dem Hersteller zufolge bisher nicht.

Palo Alto Networks Unit 42 Cloud Threat Report Vol. 7

Anmeldedaten im Quellcode machen es Angreifern leicht

Beabsichtigte Backdoor für Geheimdienste?

Es ist natürlich ein großes Versäumnis der Cisco-Entwickler, die Anmeldedaten vor Aus­liefer­ung nicht entfernt zu haben. Doch die öffentliche Kritik geht noch einen Schritt weiter. Back­doors in Software sind keine Seltenheit. Sie werden mit Absicht hinterlassen, damit der Her­steller für die Fernwartung und den Support unkompliziert auf das System zugreifen kann. Das ist ein heikles, aber technisch nachvollziehbares Vorgehen, sofern die Hintertüren doku­men­tiert, abgesichert und temporär sind.

Im Fall von Cisco jedoch ist die Sorge deutlich größer: Die verwendeten Zugangsdaten sind nicht entfernbar, allgemein bekannt und bieten direkten Root-Zugang. In der Community wird des­halb vermehrt spekuliert, ob der Zugang nicht nur für Wartungs­zwecke, sondern mög­licher­weise auch auf Druck von US-Behörden eingebaut wurde. Cisco ist ein US-ameri­ka­nisch­es Unternehmen und steht – wie andere große Tech-Firmen – unter dem Einfluss nationaler Sicherheitsgesetze, zum Beispiel aufgrund des Cloud Acts und des Foreign Intelligence Surveillance Acts.

Es ist nicht das erste Mal, dass bei Cisco statische Zugangsdaten zu Admin-Konten aufgetaucht sind. Erst im September 2024 musste der Hersteller zwei kritische Sicherheitslücken – CVE-2024-20439 und CVE-2024-20440 – in Smart License Utility schließen. Bei ersterer hatte es sich auch um eine Backdoor gehandelt, über die sich nicht authentifizierte Angreifer mit ad­mi­nis­t­ra­tiv­en Rechten bei den anfälligen Systemen anmelden konnten.

Auch bei anderen Herstellern wurden bereits Hintertüren entdeckt:

• Die mit China in Verbindung stehende Cybergruppe „UNC3886“ hat 2024 eine Backdoor in den Routern von Juniper Networks platziert, um darüber Unternehmen auszuspionieren.

• Besonders bekannt ist der Fall aus 2016, als das FBI Apple aufforderte, eine spezielle Software zu entwickeln, um das iPhone eines Attentäters zu entsperren. Apple hatte dies abgelehnt und damit argumentiert, dass eine solche Hintertür die Sicherheit aller Nutzer gefährden würde.

• Ebenso brisant war die Enthüllung aus dem Jahr 2013, dass die NSA mit US-amerikanischen und ausländischen Technologieunternehmen zusammengearbeitet habe, um Schwächen in kommerziellen Verschlüsselungsprodukten einzuführen. So sollte der NSA der Zugriff auf Benutzerdaten ermöglicht werden.

Statement von Cisco

Auf Nachfrage erhielt die Redaktion von Security-Insider folgendes Statement eines Cisco-Sprechers: „Dem Cisco PSIRT ist bislang keine böswillige Nutzung dieser Sicherheitslücke bekannt. Wir fordern unsere Kunden dringend auf, betroffene Softwareversionen zu aktualisieren und die Sicherheitsempfehlung für weitere Informationen zu lesen. Wir haben uns das Vertrauen unserer Kunden in den letzten 40 Jahren erarbeitet, und Cisco hat nie – und tut dies auch nicht – mit einer Regierung zusammengearbeitet, um unsere Produkte absichtlich für die Nutzung zu schwächen.“

Chinesische Hackergruppe UNC3886

Cyberkriminelle platzieren Backdoors in Juniper-Routern

Schutz vor Backdoors

Der erste Schritt, um sich vor eingebauten Hintertüren zu schützen, ist eine kritische Liefer­anten­auswahl. Am besten arbeiten Unternehmen nur mit Lieferanten zusammen, denen sie vertrauen. Supply-Chain-Audits, Code-Reviews und eine transparente Kommunikation kön­nen das Vertrauen in die digitalen Infrastrukturen erhöhen. Auch der Einsatz quelloffener Software kann dazu beitragen, kein Opfer einer Backdoor zu werden. Darüber hinaus können Zero-Trust-Architekturen helfen, indem sämtliche Systemzugriffe strikt überwacht und pro­to­kol­liert wer­den. Ein regelmäßiges und schnelles Patch-Management sollte ebenso Teil der Sicher­heits­strategie sein, um den Schaden durch eine Hintertür gering zu halten und diese schnellst­möglich zu schließen.

Cyber-Risikomanagement in der Supply Chain

Eskalierende Bedrohungslandschaft für Lieferketten

(ID:50472359)