Cisco ha emitido nuevos avisos de seguridad para tres vulnerabilidades parcheadas a principios de agosto. El PSIRT está al tanto del código de los exploits que están disponibles. De los tres defectos que afectan a los switchs inteligentes de Cisco Small Business de la serie 220, dos son fallas críticas de ejecución remota de código (CVE-2019-1913) y un problema de omisión de autenticación (CVE-2019-1912).
Un atacante remoto no autenticado podría aprovecharlos para ejecutar código malicioso con privilegios elevados (root) y cargar archivos manipulados o cargados con malware respectivamente.
La tercera vulnerabilidad de inyección de comandos, rastreada como (CVE-2019-1914), podría permitir a los atacantes remotos autenticados explotar esta falla para iniciar un ataque de este tipo.
La popular compañía también corrigió más de 30 vulnerabilidades, con severidad crítica y alta descubiertas en su Controlador de Gestión Integrado (IMC) y también, en el software de Cisco Unified Computing System (UCS).
Sumando a ello, existen otros cuatro problemas clasificados como críticos, con puntajes base de CVSS v3.0 de 9.8. Tres de estos últimos son defectos de omisión de autenticación, mientras que el último es una vulnerabilidad asociadas a credenciales predeterminadas. Aquí los detalles de las cuatro fallas críticas proporcionadas por la compañía.
• CVE-2019-1938: Vulnerabilidad en la interfaz de administración basada en web de Cisco UCS Director y Cisco UCS Director Express para Big Data
• CVE-2019-1974: Vulnerabilidad en la interfaz de administración basada en web de Cisco Integrated Management Controller (Supervisor IMC), Cisco UCS Director y Cisco UCS Director Express para Big Data.
• CVE-2019-1937: Vulnerabilidad en la interfaz de administración basada en la web del Supervisor de Cisco Integrated Management Controller (IMC), Cisco UCS Director y Cisco UCS Director Express para Big Data
• CVE-2019-1935: Vulnerabilidad en el Supervisor del Controlador de Gestión Integrada de Cisco (IMC), el Director de Cisco UCS y el Director de Cisco UCS Express para Big Data.
Estos problemas críticos de seguridad permiten a los atacantes remotos no autenticados lanzar ataques de baja complejidad después de explotar con éxito dispositivos con la ayuda de solicitudes maliciosas, junto con abusar de las credenciales predeterminadas para iniciar sesión en los dispositivos de destino.
La empresa ya parcho los cuatro defectos críticos y la recomendación de siempre, es que los usuarios mitiguen los posibles ataques instalando las siguientes actualizaciones del software: Cisco Integrated Management Controller Supervisor versiones 2.2.1.0 y posteriores. Cisco UCS Director versiones 6.7.2.0 y posteriores (recomendado: 6.7.3.0). Cisco UCS Director Express para Big Data versiones 3.7.2.0 y posteriores (recomendado: 3.7.3.0).
REFERENCIA
COMENTARIOS