Cisco ha descubierto
tres vulnerabilidades, una de severidad crítica y dos de severidad alta, que
afectan a múltiples productos. Un atacante remoto, sin autenticación, podría
omitir la autenticación, acceder a una cuenta con privilegios de root o generar
una condición de denegación de servicio, catalogadas de Importancia: 5 - Crítica
Recursos afectados:
1)
Cisco
Vision Dynamic Signage Director, versiones:
a)
5.0
y anteriores;
b)
6.0;
c)
6.1.
2)
Cisco
FindIT Network Manager y Cisco FindIT Network Probe versión 1.1.4, si utilizan
las imágenes virtuales suministradas por Cisco.
3)
Cisco
IOS Access Points Major Software configurados para 802.11r FT, versiones:
a)
8.0
y anteriores;
b)
8.1;
c)
8.2;
d)
8.3;
e)
8.4;
f)
8.5;
g)
8.6;
h)
8.7.
Recomendación
1)
Cisco
Vision Dynamic Signage Director, versiones:
a)
5.0
y anteriores, actualizar a 5.0sp9;
b)
6.0
y 6.1, actualizar a 6.1sp3.
2)
Cisco
FindIT Network Manager y Cisco FindIT Network Probe versión 1.1.4, actualizar a
la versión 2.0.
3)
Cisco
IOS Access Points Major Software configurados para 802.11r FT:
a)
versiones
8.0 y anteriores, 8.1 y 8.2, actualizar a la versión 8.2.170.0;
b)
versión
8.3, actualizar a la versión 8.3.150.0;
c)
versiones
8.4 y 8.5, actualizar a la versión 8.5.131.0;
d)
versiones
8.6 y 8.7, actualizar a la versión 8.8.100.0.
Detalle de
vulnerabilidades
· La
vulnerabilidad de severidad crítica afecta a la interfaz REST API de Cisco
Vision Dynamic Signage Director Software. Esta se debe a una validación insuficiente
en las peticiones HTTP. Un atacante remoto, sin autenticación, podría enviar un
paquete HTTP, especialmente generado, y realizar acciones arbitrarias con
privilegios administrativos en el sistema. Se ha asignado el identificador
CVE-2019-1917 para esta vulnerabilidad.
· Una
vulnerabilidad de severidad alta se debe a la presencia de una cuenta con
credenciales estáticas en el sistema operativo Linux subyacente. Un atacante
podría acceder a dicha cuenta que tiene privilegios de root. Se ha asignado el
identificador CVE-2019-1919 para esta vulnerabilidad.
· Una
vulnerabilidad, de severidad alta, se debe a una completa falta en la condición
de manejo de errores en las peticiones de autenticación del cliente, enviadas a
la interfaz configurada para FT. Un atacante adyacente podría enviar una
petición de autenticación, especialmente generada a la interfaz, pudiendo
generar una condición de denegación de servicio (DoS). Se ha asignado el identificador
CVE-2019-1920 para esta vulnerabilidad.
Más información
Fuente: INCIBE
