Cisco
ha publicado 33 boletines de seguridad
para solucionar otras tantas vulnerabilidades (dos críticas, dos de gravedad alta y el resto de importancia media)
en múltiples productos que podrían permitir provocar denegaciones de servicio, cross-site
scripting, inyección SQL, ejecutar código arbitrario, acceder al dispositivo
sin autorización entre otros ataques.
Los productos afectados son
- Cisco TelePresence Endpoint
- Cisco AnyConnect
- Cisco Ultra Services
- Cisco StarOS
- Cisco IP Phone 8800
- Cisco Prime Collaboration Assurance
- Cisco Network Convergence System 5500
- Cisco Industrial Network Director
- Cisco Firepower Management Center
- Cisco Elastic Services Controller
- Cisco Email Security
- Cisco Context Service SDK
- Cisco NX-OS Software
- Cisco Unified Communications Domain Manager
- Cisco Prime Data Center Network Manager
Las dos vulnerabilidades
consideradas críticas afectan a Cisco Prime Data Center Network Manager (DCNM).
Con CVE-2017-6639 una vez más el recurrente problema de las credenciales
estáticas por defecto que podría permitir a un atacante remoto sin
autenticar acceder a la consola de administración y conseguir permisos administrativos.
Con CVE-2017-6640 una vulnerabilidad debida a la falta
de autenticación y autorización en la herramienta de depuración que estaba
habilitada en el software afectado. Este problema podría permitir a un atacante
remoto sin autenticar acceder a información sensible o ejecutar código
arbitrario con privilegios de root.
De gravedad alta
una vulnerabilidad, con CVE-2017-6648, de denegación de servicio
en Cisco TelePresence Endpoint debido al protocolo SIP (Session
Initiation Protocol). También considerada de impacto alto una vulnerabilidad en
la forma en que las dll se cargan con el cliente para Windows de Cisco
AnyConnect Secure Mobility y que podría permitir a un atacante local sin
autenticar instalar y ejecutar un archivo con privilegios del sistema (CVE-2017-6638).
Ocho de las
vulnerabilidades afectan a Cisco Ultra Services (Platform y Framework) y
podrían permitir la obtención de información sensible o acceder al dispositivo
con credenciales por defecto.
Otras nueve vulnerabilidades afectan
a Cisco Elastic Services Controller y podrían permitir la obtención de
credenciales de autenticación, acceso a directorios sin autorización, obtención
de información sensible, ejecución de comandos arbitrarios o, una vez más, acceder
al dispositivo con credenciales por defecto.
Dos vulnerabilidades afectan a Cisco
Unified Communications Domain Manager, una de inyección
SQL y otra de redirección
abierta. También dos vulnerabilidades afectan a Cisco Email Security
Appliance por un salto del filtrado
de los adjuntos y por un Cross-Site
Scripting.
También cabe señalar una vulnerabilidad
de Cross-Site
Scripting en Cisco Industrial Network Director y de Cross-Site
Request Forgery en Cisco Prime Collaboration Assurance. Una ejecución
de comandos arbitrarios en Cisco Context Service SDK y otra de modificación
de archivos arbitrarios en Cisco StarOS.
Por último señalar
vulnerabilidades de denegación de servicio en Cisco
IP Phone 8800 Series, routers Cisco
Network Convergence System 5500 y Cisco
NX-OS Software.
Cisco ha publicado
actualizaciones para las vulnerabilidades consideradas de gravedad crítica y
alta. Se recomienda consultar las alertas publicadas para obtener información
sobre disponibilidad de parches y actualizaciones.
Más información:
Cisco Security Advisories and Alerts
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario