Llegamos a ustedes gracias a:



Alertas de Seguridad

Cisco aconseja corregir ahora

Los agujeros críticos de seguridad del UCS

[16/04/2020] Cisco ha publicado un paquete de 17 advertencias de seguridad críticas sobre vulnerabilidades de autenticación en su Unified Computing System que podrían permitir a los atacantes entrar en los sistemas o causar problemas de denegación de servicio.

Específicamente los problemas son con el UCS Director y Express de Cisco que permiten a los clientes construir sistemas de nube privada, y apoyar los procesos de aprovisionamiento automatizado y la orquestación para optimizar y simplificar la entrega de los recursos del centro de datos, señaló la compañía.

La mayoría de los problemas se centran en una debilidad en la API REST -que se emplea en una variedad de aplicaciones basadas en la Web- en los productos de Cisco afectados.Cisco dijo que las vulnerabilidades tienen una puntuación de 9,8 sobre 10 en el Sistema de Puntuación de Vulnerabilidades Comunes.

Algunos de los problemas:

  • Una vulnerabilidad en el API REST del Director de UCS de Cisco y del Director Express de UCS para Big Data podría permitir a un atacante remoto no autenticado eludir la autenticación, y ejecutar acciones arbitrarias con privilegios administrativos en un dispositivo afectado. La vulnerabilidad se debe a la insuficiente validación del control de acceso. Un atacante podría explotar esta vulnerabilidad enviando una solicitud elaborada a la API de REST.
  • Una vulnerabilidad en el API REST de Cisco UCS Director y UCS Director Express para Big Data podría permitir a un atacante remoto autenticado ejecutar código arbitrario con privilegios de root en el sistema operativo subyacente. La vulnerabilidad se debe a una validación de entrada inadecuada. Un atacante podría explotar esta debilidad creando un archivo malicioso y enviándolo a la API REST, declaró Cisco.
  • Una vulnerabilidad en la API REST del Director de UCS de Cisco y del Director Express de UCS para Big Data podría permitir a un atacante remoto no autenticado eludir la autenticación y ejecutar llamadas a la API en un dispositivo afectado. La vulnerabilidad se debe a una insuficiente validación del control de acceso. Un exploit exitoso podría permitir al atacante interactuar con el API de REST y causar una potencial condición de Denegación de Servicio (DoS) en el dispositivo afectado, indicó Cisco.

Cisco señaló que ha publicado actualizaciones de software libre que abordan las vulnerabilidades y ha fijado las vulnerabilidades en UCS Director Release 6.7.4.0 y UCS Director Express para Big Data Release 3.7.4.0.

Steven Seeley (mr_me) de Source Incite trabajó con Trend Micro Zero Day Initiative para divulgar los problemas, que no han sido explotados, indicó la compañía.

Además de los productos UCS, Cisco emitió otras dos advertencias de seguridad críticas esta semana con sus teléfonos IP.

Primero, una vulnerabilidad en el servidor web de los teléfonos IP de Cisco podría permitir que un atacante remoto no autenticado ejecutara código con privilegios de root, o causara una recarga de un teléfono IP afectado, resultando en una condición de DoS, declaró Cisco.

Esta vulnerabilidad afecta a los siguientes productos Cisco si tienen habilitado el acceso a la web y están ejecutando una versión de firmware anterior a la primera versión fija para ese dispositivo:

  • Teléfonos IP 7811, 7821, 7841, y 7861 Teléfonos de escritorio
  • Teléfonos IP 8811, 8841, 8845, 8851, 8861 y 8865 Teléfonos de escritorio
  • Teléfono de Conferencia IP Unificado 8831
  • Teléfono IP inalámbrico 8821 y 8821-EX

El otro problema del teléfono IP era la aplicación web para teléfonos IP Cisco que podía permitir que un atacante enviara una solicitud HTTP elaborada al servidor web de un dispositivo específico. Un exploit exitoso podría permitir al atacante ejecutar remotamente el código con privilegios de root o causar una recarga de un teléfono IP afectado, resultando en una condición DoS.

La vulnerabilidad existe porque el software afectado no comprueba los límites de los datos de entrada, declaró Cisco. Cisco dijo que ha publicado actualizaciones de software gratuitas para solucionar los problemas.