CISCO ASYNCOS SOFTWARE. Ejecución arbitraria de código

Vulnerabilidad de ejecución arbitraria de código, con permisos de admistración, en Software Cisco AsyncOS de Email Security Appliance (ESA) y Cisco Content Security Management Appliance (SMA) explotable remotamente., catalogada con nivel de Importancia: 4 - Alta

Recursos afectados

Para versiones de Cisco AsyncOS Software en Cisco ESA actualizar:

• 7.1 y anteriores actualizar a la 7.6.3-023 o posterior
• 7.3 actualizar a 8.0.1-023 o posterior
• 7.5 actualizar a 7.6.3-023 o posterior
• 7.6 actualizar a 7.6.3-023 o posterior
• 7.8 actualizar a 8.0.1-023 o posterior
• 8.0 actualizar a 8.0.1-023 o posterior

Para versiones de Cisco AsyncOS Software en Cisco SMA actualizar:

• 7.2 y anteriores actualizar a 7.9.1-110 o posterior
• 7.7 actualizar a 7.9.1-110 o posterior
• 7.8 actualizar a 7.9.1-110 o posterior
• 7.9 actualizar a 7.9.1-110 o posterior
• 8.0 actualizar a 8.1.1-013 o posterior
• 8.1 actualizar a 8.1.1-013 o posterior

Detalle e Impacto de la vulnerabilidad

1. Se trata de un error de validación en la función End User Safelist/Blocklist(SLBL) en el software Cisco AsyncOS para Cisco Email Security Appliance y Cisco Content Security Management Appliance, que podría permitir a un usuario remoto autenticado ejecutar codigo arbitrario con permisos de administrador.
2. Debido a una incorrecta validación del archivo de la base de datos SLBL, un atacante podría sustituir el archivo por una versión manipulada. El SLBL manipulado podría contener una shellcode que se ejecutaría con permisos de administrador en base a eventos, como la recepción de un nuevo correo que provoque una validación en SLBL. Para aprovechar esta vulnerabilidad los servicios FTP y SLBL deben estar en ejecución y además se debe disponer de las credenciales de FTP para cargar el archivo SLBL manipulado.
3. Esta vulnerabilidad tiene asignada el CVE-2014-2119

Recomendación

• Cisco ha liberado actualizaciones para todos los productos afectados, póngase en contacto con su servicio técnico o visite la página ( http://software.cisco.com/download/navigator.html )

Más información

• Cisco AsyncOS Software Code Execution Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140319-asyncos

Fuente: Hispasec