Los productos basados en Cisco NX-OS: Cisco Nexus,
Cisco Unified Computing System (UCS), Cisco MDS 9000 Series Multilayer
Switches, y Cisco 1000 Series Connected Grid Routers (CGR) son vulnerables a
uno o varios fallos de seguridad como escalada de privilegios, denegación de
servicio o desbordamiento de búfer. Cisco ha publicado actualizaciones para
corregir estas vulnerabilidades. Las vulnerabilidades se les asignó nivel de Importancia:
4 - Alta
Recursos afectados
Los dispositivos Cisco basados en NX-OS afectados por
alguna de estas vulnerabilidades son:
- UCS 6100 y 6200
- Nexus 1000v, 3000, 4000, 5000, 6000, 7000 y 9000
- MDS 9000
- CGR 1000
Detalle e Impacto de la
vulnerabilidades
Los productos basados en Cisco NX-OS son vulnerables a
alguna de las siguientes fallos de seguridad:
- Vulnerabilidades de escalada de privilegios a través de SSH, permitiendo a un atacante remoto cuando existen dispositivos virtuales (VDC) en el sistema y la autenticación local, acceder a las interfaces de administración a través de SSH, de manera que se obtenga los privilegios de administrador en otra VDC. El atacante también podría manipular la información de acceso suministrada como parte del archivo de claves SSH para explotar la vulnerabilidad. Bajo ciertas condiciones, esto podría permitir al atacante tomar el control total del dispositivo afectado.
- Vulnerabilidad de desbordamiento de búfer en productos Smart Call Home, podría permitir que un atacante remoto no autenticado tome el control del servidor SMTP, causando un desbordamiento de búfer, pudiendo provocar una ejecución de código en el sistema afectado. Esta vulnerabilidad se debe a un fallo al limpiar incorrectamente los datos recibidos de hosts remotos al enviar una notificación Smart Call Home.
- Vulnerabilidad de denegación de servicio en Message Transfer Service (MTS), provocada por una referencia a un puntero NULL que puede ocurrir cuando el dispositivo afectado se encuentra con sobrecargado a causa del envío de una cantidad significativa de tráfico especialmente diseñado, causando un "kernel panic" y la mencionada denegación de servicio.
Recomendación
- Cisco ha liberado actualizaciones para todos los productos afectados. Para obtener los parches, póngase en contacto con su servicio técnico o visite la pagina de descargas de CISCO. http://software.cisco.com/download/navigator.html
Más información
- Multiple Vulnerabilities in Cisco NX-OS-Based Products: cisco-sa-20140521-nxos http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140521-nxos