Cisco
ha publicado 33 boletines de seguridad para solucionar otras tantas
vulnerabilidades (dos críticas, dos de gravedad alta y el resto de importancia
media) en múltiples productos que podrían permitir provocar denegaciones de servicio,
cross-site scripting, inyección SQL, ejecutar código arbitrario, acceder al
dispositivo sin autorización entre otros ataques.
Los
productos afectados son
Cisco
TelePresence Endpoint
Cisco
AnyConnect
Cisco
Ultra Services
Cisco
StarOS
Cisco
IP Phone 8800
Cisco
Prime Collaboration Assurance
Cisco
Network Convergence System 5500
Cisco
Industrial Network Director
Cisco
Firepower Management Center
Cisco
Elastic Services Controller
Cisco
Email Security
Cisco
Context Service SDK
Cisco
NX-OS Software
Cisco
Unified Communications Domain Manager
Cisco
Prime Data Center Network Manager
Las dos vulnerabilidades consideradas críticas afectan a
Cisco Prime Data Center Network Manager (DCNM). Con CVE-2017-6639 una vez más
el recurrente problema de las credenciales estáticas por defecto que podría
permitir a un atacante remoto sin autenticar acceder a la consola de
administración y conseguir permisos administrativos. Con CVE-2017-6640 una
vulnerabilidad debida a la falta de autenticación y autorización en la
herramienta de depuración que estaba habilitada en el software afectado. Este
problema podría permitir a un atacante remoto sin autenticar acceder a
información sensible o ejecutar código arbitrario con privilegios de root.
De gravedad alta una vulnerabilidad, con CVE-2017-6648,
de denegación de servicio en Cisco TelePresence Endpoint debido al protocolo
SIP (Session Initiation Protocol). También considerada de impacto alto una
vulnerabilidad en la forma en que las dll se cargan con el cliente para Windows
de Cisco AnyConnect Secure Mobility y que podría permitir a un atacante local
sin autenticar instalar y ejecutar un archivo con privilegios del sistema
(CVE-2017-6638).
Ocho de las vulnerabilidades afectan a Cisco Ultra
Services (Platform y Framework) y podrían permitir la obtención de información
sensible o acceder al dispositivo con credenciales por defecto.
Otras nueve vulnerabilidades afectan a Cisco Elastic
Services Controller y podrían permitir la obtención de credenciales de
autenticación, acceso a directorios sin autorización, obtención de información
sensible, ejecución de comandos arbitrarios o, una vez más, acceder al
dispositivo con credenciales por defecto.
Dos vulnerabilidades afectan a Cisco Unified
Communications Domain Manager, una de inyección SQL y otra de redirección
abierta. También dos vulnerabilidades afectan a Cisco Email Security Appliance
por un salto del filtrado de los adjuntos y por un Cross-Site Scripting.
También cabe señalar una vulnerabilidad de Cross-Site
Scripting en Cisco Industrial Network Director y de Cross-Site Request Forgery
en Cisco Prime Collaboration Assurance. Una ejecución de comandos arbitrarios
en Cisco Context Service SDK y otra de modificación de archivos arbitrarios en
Cisco StarOS.
Por último señalar vulnerabilidades de denegación de
servicio en Cisco IP Phone 8800 Series, routers Cisco Network Convergence
System 5500 y Cisco NX-OS Software.
Cisco ha publicado actualizaciones para las
vulnerabilidades consideradas de gravedad crítica y alta. Se recomienda
consultar las alertas publicadas para obtener información sobre disponibilidad
de parches y actualizaciones.
Más
información:
Cisco
Security Advisories and Alerts https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&limit=50#~Vulnerabilities
Fuente:
Hispasec.com