Cisco
ha anunciado la existencia de cuatro
vulnerabilidades en los dispositivos Cisco
Web Security Appliance (WSA) que podrían permitir a un atacante provocar
condiciones de denegación de servicio.
Los dispositivos de seguridad Cisco
Web Security Appliance (WSA) combinan defensa contra amenazas avanzadas,
protección frente a malware avanzado, control y visibilidad de aplicaciones,
informes detallados y movilidad segura en una única solución; además también permiten
proteger y controlar el tráfico web. Estos dispositivos ejecutan el sistema operativo Cisco
AsyncOS.
El primer
problema, con CVE-2016-1380, reside en el tratamiento de peticiones HTTP
POST con Cisco AsyncOS para Cisco Web Security Appliance (WSA) debido a que el
proceso proxy deje de responder. Por otra parte, con CVE-2016-1381, un
fallo en la liberación de memoria en las peticiones de un rango de archivos
en caché de Cisco AsyncOS paraWSA podría llevar al dispositivo a quedarse sin
memoria del sistema.
Con CVE-2016-1382, una
vulnerabilidad en el tratamiento de peticiones HTTP debido a una asignación
inadecuada del espacio para la cabecera HTTP y cualquier contenido HTTP esperado.
Por último, con CVE-2016-1383, una
vulnerabilidad en Cisco AsyncOS para Cisco Web Security Appliance (WSA) cuando
trata un código de respuesta http específico podría dejar al dispositivo sin
memoria del sistema.
Cisco ha publicado la versión 9.0.1-162 destinada a solucionar los problemas
descritos. En la mayoría de los casos un WSA puede actualizarse desde
Internet mediante la opción "System Upgrade" en la interfaz de
administración del sistema. (System Administration/ System Upgrade/Upgrade Options/Download
and Install).
Más información:
Cisco Web Security Appliance HTTP POST Denial
of Service Vulnerability
Cisco Web Security Appliance Cached Range
Request Denial of Service Vulnerability
Cisco Web Security Appliance HTTP Length Denial
of Service Vulnerability
Cisco Web Security Appliance Connection Denial
of Service Vulnerability
Cisco Web Security Appliance
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario