Inicio / Alerta Temprana / Avisos Seguridad / Múltiples vulnerabilidades de productos Cisco

Múltiples vulnerabilidades de productos Cisco

Fecha de publicación: 
03/11/2016
Importancia: 
5 - Crítica
Recursos afectados: 
  • Cisco ASR 900 Series Aggregation Services Routers (ASR902, ASR903, and ASR907) con alguna de las siguientes versiones de Cisco IOS XE Software: 3.17.0S, 3.17.1S, 3.17.2S, 3.18.0S o 3.18.1S
  • Cisco Prime Home versiones 5.1.1.6 y anteriores y 5.2.2.2
  • Cisco Meeting Server versiones anteriores a 2.0.3
  • Acano Server versiones 1.9.x anteriores a 1.9.5
  • Acano Server versiones 1.8.x anteriores a 1.8.17
  • Cisco Meeting Server versiones anteriores a 2.0.1
  • Acano Server versiones anteriores a 1.8.16 y anteriores a 1.9.3
  • Cisco Meeting App versiones anteriores a 1.9.8
  • Acano Meeting Apps versiones anteriores a 1.8.35
  • Todos los endpoint TelePresence con software CE o TC anteriores a la versión con la corrección
  • Cisco Nexus 9000 Series Leaf Switches (TOR) - ACI Mode and Cisco Application Policy Infrastructure Controller (APIC)
  • Cisco AsyncOS Software para appliances virtuales o hardware Cisco Email Security. El appliance debe estar configurado para usar filtrado de contenido sobre adjuntos de emails que estén protegidos o encriptados
  • Cisco ASR 5500 con Data Processing Card 2 (DPC2) con sistema operativo StarOS 18.0 or superior
  • Otros productos son vulnerables o se encuentran bajo investigación. El listado puede consultarse aquí
Descripción: 

Se han detectado vulnerabilidades en diversos productos Cisco, entre las que destacan dos vulnerabilidades críticas. Una de ellas afectaría a los routers de la serie ASR 900 y la otra a la plataforma de gestión de dispositivos domésticos Cisco Prime Home.

Solución: 

Cisco ha publicado actualizaciones para corregir estos problemas, no obstante recomienda que antes de desplegarlas, los clientes verifiquen la compatibilidad con los entornos en los que serán aplicadas.

Estas actualizaciones pueden descargarse desde: Panel de descarga de Software Cisco.

Detalle: 

El detalle de las vulnerabilidades de mayor criticidad entre las publicadas hoy es el siguiente: 

  • Vulnerabilidad crítica en los routers ASR 900 Series Aggregation Services debido a un chequeo incompleto de la entrada de datos, que podría permitir a un usuario no autenticado remoto recargar el sistema o ejecutar código arbitrario pudiendo incluso a llegar a obtener el control total del routermediante código en lenguaje TL1. Se ha reservado el identificador CVE-2016-6441 para esta vulnerabilidad.
  • Vulnerabilidad crítica en el interfaz web del gestor Prime Home debido a un error procesando role-based access control (RBAC) de URL. Esta vulnerabilidad podría permitir al atacante remoto mediante un paquete HTTP hecho a medida, obtener los privilegios completos de un usuario arbitrario, pudiendo ser un usuario con rol de administrador. Se ha reservado el identificador CVE-2016-6452 para esta vulnerabilidad.
  • Una vulnerabilidad alta en el parseador del protocolo SDP del Meeting Server debido a una validación incompleta de la entrada de datos que podría permitir la ejecución de código arbitrario en el sistema afectado por parte de un atacante remoto. Se ha reservado el identificador CVE-2016-6448 para esta vulnerabilidad.
  • Una vulnerabilidad alta en Meeting Server y en Meeting App debido a un insuficiente chequeo de los límites en los datos proporcionados por el usuario que podría permitir la recarga del sistema o la ejecución de código arbitrario con los privilegios de la aplicación afectada por parte de un atacante remoto. Se ha reservado el identificador CVE-2016-6447 para esta vulnerabilidad.