Cisco Smart Licensing Utility 2.0.0 do 2.2.0 ma wbudowane, publicznie znane hasło administratora. CISA potwierdza ataki. Znajdź instalacje, wyłącz je i zaktualizuj do wersji 2.3.0 lub nowszej.
Ten alert jest dla zarządu, CTO i CFO firm, które używają sprzętu i oprogramowania Cisco z licencjami Smart Licensing i mają zainstalowane narzędzie Cisco Smart Licensing Utility (CSLU). Werdykt: jeśli CSLU jest w wersji 2.0.0, 2.1.0 lub 2.2.0, zaktualizuj go do wersji 2.3.0 lub nowszej albo odinstaluj dziś, bo wbudowane hasło administratora jest publicznie znane i wykorzystywane w atakach.
Amerykańska agencja CISA 31 marca 2025 roku dopisała do katalogu KEV podatność CVE-2024-20439 w Cisco Smart Licensing Utility. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach.
W programie istniało nieudokumentowane konto administracyjne z hasłem wpisanym na stałe, identycznym w każdej instalacji. Napastnik bez konta mógł się nim zalogować przez sieć i uzyskać uprawnienia administracyjne do interfejsu programowego (API) aplikacji. Użytkownik nie mógł tego hasła zmienić, bo nie wiedział o jego istnieniu. Warunek: program musi być uruchomiony.
Cisco opublikował poprawkę we wrześniu 2024 roku. Kilkanaście dni później badacz Nicholas Starke opisał publicznie mechanizm razem z hasłem, a w marcu 2025 roku SANS Internet Storm Center i sam Cisco odnotowali próby ataków. Termin naprawy wyznaczony przez CISA minął 21 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-20439 |
Data dodania do CISA KEV | 2025-03-31 |
Termin naprawy wg CISA | 2025-04-21 (21 dni od wpisu) |
Produkt | Cisco Smart Licensing Utility (CSLU), narzędzie do zarządzania licencjami Cisco instalowane w sieci firmy |
Wersje zagrożone | 2.0.0, 2.1.0 i 2.2.0, ale tylko gdy program jest uruchomiony (ustawienia nie mają znaczenia). Smart Software Manager On-Prem i Satellite nie są podatne |
Wersje bezpieczne | 2.3.0 i nowsze. Dla starszych wydań nie ma poprawki w tej samej linii, trzeba przejść na wersję naprawioną |
Typ podatności | Statyczne poświadczenie administratora; CWE-912, ukryta funkcjonalność (Cisco, KEV), NVD: poświadczenia zakodowane na stałe |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, Cisco i NVD zgodnie). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie, że producent zamków montuje w każdych drzwiach dodatkową, nigdzie nieopisaną dziurkę na klucz serwisowy, a sam klucz jest identyczny dla wszystkich egzemplarzy. Właściciel domu może zmieniać zamki główne i hasła do alarmu, ale o tej dziurce nie wie. Wystarczy, że ktoś opisze klucz serwisowy w internecie, a każdy może otworzyć dowolne drzwi z tej serii.
Tak działał ten błąd. W Cisco Smart Licensing Utility istniało konto administracyjne ze stałym hasłem, którego nie było w dokumentacji. Hasło zostało opublikowane przez badacza we wrześniu 2024 roku, więc każdy, kto mógł połączyć się z uruchomionym programem przez sieć, mógł zalogować się jako administrator. Słabe hasło ustawione przez człowieka da się zmienić, tego hasła nie dało się zmienić wcale.
💡 Smart Licensing Utility to program pomocniczy do obsługi licencji Cisco, często instalowany raz przy wdrożeniu sprzętu i zapominany. Poświadczenie zakodowane na stałe to login i hasło wpisane w program, takie same w każdej kopii. API to „wejście dla programów”, przez które można sterować aplikacją. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z CSLU | Musi znać hasło ustawione przez administratora | Loguje się publicznie znanym hasłem wbudowanym |
Zmiana haseł w firmie | Usuwa ryzyko wycieku hasła | Nie pomaga, bo wbudowanego hasła nie da się zmienić |
Program wyłączony | Nieaktywny | Bezpieczny, luki nie da się wykorzystać |
Program działający w tle od lat | Niewidoczny dla nikogo | Otwarta furtka w sieci firmy |
Druga luka CVE-2024-20440 w tym samym biuletynie | Nieistotna | Ujawnia w logach dane logowania do API |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby CSLU był uruchomiony i osiągalny przez sieć dla napastnika. CISA ocenia go jako możliwy do zautomatyzowania i dający całkowity skutek techniczny. SANS Internet Storm Center obserwował w marcu 2025 roku skanowanie łączące tę lukę z CVE-2024-20440.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie sieci w poszukiwaniu działających instancji CSLU | Lista celów |
2. Logowanie | T+sekundy | Użycie publicznie znanego, wbudowanego hasła administratora | Uprawnienia administracyjne w API programu |
3. Kradzież danych | T+minuty | Odczyt danych licencyjnych, konfiguracji i logów (CVE-2024-20440 ujawnia w nich dane logowania) | Informacje o sprzęcie i kontach w firmie |
4. Rozpoznanie sieci | T+godziny | Wykorzystanie maszyny z CSLU jako punktu obserwacji sieci | Mapa urządzeń Cisco i systemów |
5. Rozszerzenie | T+dni | Próby użycia zdobytych danych do dostępu do innych systemów | Szerszy dostęp w sieci |
6. Wykorzystanie | T+tygodnie | Kradzież danych lub przygotowanie dalszego ataku | Wyciek, zakłócenie pracy |
Mogę Ci jakoś pomóc?
Narzędzia pomocnicze instaluje się raz i zapomina, więc firma zwykle nie wie, czy CSLU działa. Hasło jest publicznie znane od września 2024 roku, a atak nie wymaga żadnej wiedzy o firmie. Ryzyko zależy głównie od tego, czy program jest uruchomiony i czy widać go z sieci, do której ma dostęp napastnik.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność sprawdzenia maszyny z CSLU i związanych kont, możliwe zakłócenia licencji | Godziny do dni | 5 tys. do 50 tys. PLN (prace IT, analiza) |
Bezpieczeństwo danych | Wyciek danych licencyjnych, konfiguracji i danych logowania z logów | Minuty od wejścia | 10 tys. do 100 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Koszty specjalistów, ewentualne skutki dalszego włamania | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Pytania klientów i audytorów o kontrolę nad oprogramowaniem w sieci | Miesiące | 10 tys. do 150 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dalszy atak obejmie dane osobowe, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z działającym CSLU
w wersji 2.0.0, 2.1.0 lub 2.2.0
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (hasło publiczne, atak zautomatyzowany, potwierdzone próby), ale nie maksymalne, bo program musi być uruchomiony i osiągalny; wpływ jest wysoki, bo uprawnienia dotyczą samej aplikacji CSLU, a dalsze szkody zależą od tego, co widzi maszyna, na której działa. Firma z wersją 2.3.0 lub z wyłączonym programem jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wyszukać wszystkie instalacje Cisco Smart Licensing Utility w firmie i sprawdzić ich wersje | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zamknąć CSLU w wersjach 2.0.0 do 2.2.0 i usunąć go z programów startowych | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować CSLU do 2.3.0 lub nowszej albo odinstalować, jeśli nie jest potrzebny | Dziś | Administrator sieci / partner Cisco |
4 | 🟠 PILNIE | Sprawdzić logi i maszynę z CSLU pod kątem nieznanych logowań i aktywności od września 2024 roku | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła i klucze, które mogły trafić do logów CSLU (CVE-2024-20440 z tego samego biuletynu) | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Uruchamiać narzędzia pomocnicze tylko na czas użycia, na maszynie bez dostępu do całej sieci | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić spis programów pomocniczych instalowanych przy wdrożeniach sprzętu | Do 30 dni | CTO |
Cisco wydał wersję 2.3.0 i zaznacza, że obejść dla tej luki nie ma: nie da się jej wyłączyć ustawieniem. Jedynym środkiem poza aktualizacją jest niedopuszczenie do działania podatnego programu. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie programu CSLU i usunięcie go z autostartu (według Cisco luka działa tylko przy uruchomionym programie) | Wysoka | Łatwa |
Odinstalowanie CSLU, jeśli licencje obsługuje się inaczej | Wysoka | Łatwa |
Zablokowanie dostępu sieciowego do maszyny z CSLU z innych segmentów sieci | Średnia | Średnia |
Monitorowanie logowań do CSLU | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja CSLU | 2.0.0 do 2.2.0, często nieznana | 2.3.0 lub nowsza albo program usunięty |
Działanie programu | W tle od lat | Tylko na czas użycia |
Wbudowane hasło administratora | Publicznie znane i aktywne | Usunięte w wersji naprawionej |
Dane logowania w logach | Mogły wyciec | Zmienione |
Zgodność z wymogami | Zaległość wobec terminu CISA z 21 kwietnia 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco odnotował próby ataków w marcu 2025 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, Cisco i NVD) |
PoC dostępny publicznie? | TAK, we wrześniu 2024 roku Nicholas Starke opublikował opis mechanizmu razem z hasłem |
Liczba atakowanych firm | Brak publicznych informacji; SANS ISC opisał próby skanowania w marcu 2025 roku |
Kto wykrył błąd | Inżynier Cisco podczas wewnętrznych testów bezpieczeństwa |
Powiązana luka | CVE-2024-20440 (nadmiernie szczegółowy plik logów ujawniający dane logowania do API, CVSS 9.8), w tym samym biuletynie |
Prognoza EPSS | 0,83 w dniu wpisu do KEV, dziś około 0,92, górny 1% podatności (wg analizy źródłowej) |
Wskaźnik EPSS był wysoki już przed wpisem do katalogu CISA. Katalog potwierdzonych ataków z natury spóźnia się o czas potrzebny na potwierdzenie, dlatego przy krytycznych lukach w programach dostępnych przez sieć aktualizacja nie powinna na niego czekać.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-20439
CVSS 3.1 (Cisco/NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (dzień wpisu) ~83% █████████████████░░░ BARDZO WYSOKA
EPSS (obecnie) ~92% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Hasło publiczne TAK ████████████████████ od września 2024 2024-09-04 Cisco publikuje biuletyn i wersję 2.3.0, publikacja CVE
2024-09-20 Nicholas Starke publikuje opis luki z hasłem
2025-03-19 SANS ISC opisuje próby ataków na CSLU
2025-03 Cisco odnotowuje próby wykorzystania luki
2025-03-31 CISA dodaje lukę do katalogu KEV
2025-04-21 Termin naprawy wg CISA dla agencji federalnych
... prawie 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn Cisco: cisco-sa-cslu-7gHMzWmw . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-20439 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić wyszukanie wszystkich instalacji Cisco Smart Licensing Utility | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe wyłączenie wersji 2.0.0 do 2.2.0 | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie aktualizacji do 2.3.0 lub odinstalowania | CTO | DO JUTRA |
4 | Zlecić przegląd logów i zmianę haseł, które mogły trafić do logów CSLU | CTO | DO JUTRA |
5 | Zapytać partnera Cisco, czy instalował CSLU przy wdrożeniach i gdzie | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z partnerem Cisco obejmuje aktualizację narzędzi pomocniczych | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu maszynach jest zainstalowany Cisco Smart Licensing Utility? | [liczba] | 🔴 |
2 | Jaka wersja CSLU jest na każdej z nich? | [wersja] | 🔴 |
3 | Czy CSLU uruchamia się automatycznie lub działa teraz w tle? | TAK / NIE | 🔴 |
4 | Kiedy zaktualizowaliśmy CSLU do 2.3.0 lub go usunęliśmy? | [data] | 🟠 |
5 | Czy sprawdziliśmy logi CSLU pod kątem nieznanych logowań? | TAK / NIE | 🟠 |
6 | Czy maszyna z CSLU ma dostęp do całej sieci firmy? | TAK / NIE | 🟠 |
7 | Czy mamy spis programów pomocniczych instalowanych przy wdrożeniach sprzętu? | TAK / NIE | 🟡 |
CVE-2024-20439 to wbudowane, publicznie znane hasło administratora w Cisco Smart Licensing Utility 2.0.0 do 2.2.0, które pozwala bez konta przejąć uprawnienia administracyjne w uruchomionym programie. Poprawka jest dostępna od września 2024 roku, a CISA potwierdza ataki, więc odnalezienie instalacji, wyłączenie ich i aktualizacja to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.