ハードコーディングされていたSSH認証情報

SSHは、Secure Shellの略で、ネットワークを介して別のコンピュータやネットワーク機器に安全にログインし、操作するためのプロトコルです。
この性質から、この機構は非常に多くの製品や環境で利用されています。
利用の前に認証されることが必要となるのですが、その方法の安全性も人気の理由の一つです。
単にユーザ名とパスワードで認証するということだけでなく、鍵情報を使って認証する仕組みを備えています。
この特徴の部分がかえって残念なことになってしまっている例が確認されています。

• CVE-2025-20309
  これは、Cisco Unified Communications Manager（CUCM）の脆弱性です。
  CUCMはCUCMはシスコ社が提供する電話機や音声機器などのコミュニケーションサービスをコントロールする呼制御ソフトウェアで、電話を使用するユーザの名前や そのユーザに紐づくデバイス(電話機)の情報、そのデバイスが持つプロファイル情報や設定を管理するデータベースの機能を持っていたり、ユーザ同士の内線通信を確立する為のシグナル管理を行います。
  企業などが利用することを想定したIP電話システムの製品です。
  このCUCMの特定のバージョンには、SSH認証情報がハードコーディングされていました。
  このため、利用者が何も操作や設定をしていない場合でも、その対象のバージョンが動作しているだけで、この事実を把握して悪用するすべての脅威アクターの侵入を許してしまう状態となっています。
  製品に最初からバックドアとして利用できるアカウント情報が書き込まれているといえるような状態だったわけです。
  脆弱性の対象となるのは、Cisco Unified CMとUnified CM SME Engineering Special (ES) リリース 15.0.1.13010-1 から 15.0.1.13017-1 です。

この種の脆弱性は、これまでも確認されてきたタイプのものです。
開発の段階で効率性のためにSSH鍵が書き込まれたものなのでしょうか。
そのSSH鍵がそのまま出荷対象となるソフトウェアの内容に含まれた状態でリリースされてしまったということになります。
SSHを搭載するすべてのソフトウェアで起こりえる問題といえます。

大抵の開発の現場ではなんらかのソースコード管理システムが利用されていることかと思います。
こういった機構に変更を取り込む際に、注意してこの種の問題が起こらないようにしていくことになります。
汎用的にこの問題に対処できる便利な機構は思いつきません。
こういった脅威があるということを知ったうえで、日々注意して開発にあたるということで対策することになるのかもしれませんね。

Cisco Unified Communications Manager Static SSH Credentials Vulnerability
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-ssh-m4UBdpE7