Cisco poinformowało o wykryciu dwóch poważnych dziur w oprogramowaniu Cisco Clean Access, będącym elementem systemu bezpieczeństwa sieci NAC (Network Access Control).

Dziury te pozwalają odczytywać dane z oprogramowania Clean Access i w efekcie przejmować kontrolę nad programem CAM (Clean Access Manager).

Cisco Clean Access (znane też pod nazwą Cisco NAC Appliance) to rozwiązanie sprzętowo-programowe, które kontroluje klientów próbujących uzyskać dostęp do sieci drogą kablową i bezprzewodową również za pośrednictwem zdalnych połączeń VPN. Aplikacja sprawdza stan klienta i podejmuje decyzję, czy może on uzyskać dostęp do sieci. Jeśli klient nie spełnia określonych warunków, Clean Access odmawia mu dostępu lub poddaje kwarantannie w wydzielonym obszarze sieci.

W biuletynie Cisco Security Advisory 72379 można przeczytać, że pierwsza dziura dotyczy wstępnego konfigurowania dwóch produktów wchodzących w skład rozwiązania NAC: CAM (Clean Access Manager) i CAS (Clean Access Server). Zdalni włamywacze mogą ją wykorzystać do ustanawiania połączeń TCP z urządzeniem CAS i przejmowania nad nim kontroli.

Druga dziura znajdująca się w oprogramowaniu Clean Access Manager pozwala włamywaczom przeglądać bazę danych CAM bez wcześniejszego uwierzytelnienia się. Jest to poważna nieszczelność, bo dzięki niej można odczytać z urządzenia poufne dane, takie jak hasła użytkowników CAM oraz informacje dotyczące instalacji Clean Access.