Inicio / Content / Boletín de INCIBE-CERT del 04-11-2021

Boletín de INCIBE-CERT del 04-11-2021

Múltiples vulnerabilidades en productos de Cisco

Fecha de publicación: 
04/11/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • Cisco Policy Suite, versiones:
    • 20.2.0 y anteriores;
    • 21.1.0.
  • Catalyst PON Switch:
    • CGP-ONT-1P, versión 1.1;
    • CGP-ONT-4P, versión 1.1;
    • CGP-ONT-4PV, versión 1.1;
    • CGP-ONT-4PVC, versión 1.1;
    • CGP-ONT-4TVCW, versión 1.1.
Descripción: 

Cisco ha reportado tres vulnerabilidades de severidad crítica y otra de severidad alta que podrían permitir a un atacante, remoto y no autenticado, realizar una escalada de privilegios, ejecutar comandos arbitrarios, tomar el control del dispositivo o modificar parámetros de configuración.

Solución: 

Actualizar a las versiones correspondientes de los productos afectados, según indica la sección Fixed Releases en los avisos del fabricante.

Detalle: 

Una vulnerabilidad de credenciales embebidas en el mecanismo de autenticación SSH basado en claves de Cisco Policy Suite podría permitir a un atacante, remoto y no autenticado, iniciar sesión en un sistema afectado como usuario root. Esta vulnerabilidad se debe a la reutilización de claves SSH estáticas entre instalaciones. Se ha asignado el identificador CVE-2021-40119 para esta vulnerabilidad crítica.

Una vulnerabilidad de credenciales embebidas en el servicio Telnet de los switches afectados, podría permitir a un  atacante, remoto y no autenticado, iniciar sesión en el dispositivo de Cisco a través de una sesión de Telnet y credenciales por defecto. Se ha asignado el identificador CVE-2021-34795 para esta vulnerabilidad crítica.

Una vulnerabilidad en la interfaz de administración basada en web de los switches afectados, debida a una validación incorrecta de los datos proporcionados por el usuario, podría permitir a un atacante, remoto y no autenticado, ejecutar comandos arbitrarios mediante el envío de peticiones especialmente diseñadas a la interfaz. Se ha asignado el identificador CVE-2021-40113 para esta vulnerabilidad crítica.

Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2021-40112.

Encuesta valoración

Trojan Source: vulnerabilidades en Unicode que afectan a compiladores

Fecha de publicación: 
04/11/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • Prácticamente todos los compiladores de código;
  • estándar de codificación Unicode, hasta la versión 14.0;
  • Rust, versiones desde 1.0.0 hasta 1.56.0.
Descripción: 

Los investigadores Nicholas Boucher y Ross Anderson, de la Universidad de Cambridge, han descubierto 2 vulnerabilidades críticas que afectan a la mayoría de los compiladores de código y a muchos entornos de desarrollo de software, pudiendo utilizarse para realizar ataques a la cadena de suministro.

Con el exploit, un atacante podría enviar a las máquinas un código diferente al que se pretendía originalmente, anulando las instrucciones de un programa. El ataque consiste en utilizar los caracteres de control incrustados en los comentarios y las cadenas para reordenar los caracteres del código fuente, de forma que cambie su lógica.

Solución: 
  • En el apartado The defense de la investigación se detallan unas medidas de mitigación;
  • comprobar periódicamente que los siguientes codepoints no están presentes en repositorios o dependencias: U+202A, U+202B, U+202C, U+202D, U+202E, U+2066, U+2067, U+2068 o U+2069;
  • actualizar Rust a la versión 1.56.1.
Detalle: 
  • Se ha descubierto una vulnerabilidad en el algoritmo bidireccional (Bidi) de Unicode que podría permitir la reordenación visual de los caracteres a través de secuencias de control (por ejemplo, LRI: aislamiento de izquierda a derecha y RLI: aislamiento de derecha a izquierda), lo que podría ser utilizado para crear código fuente que se traduce en una lógica diferente a la ordenación lógica de los tokens recibidos por los compiladores e intérpretes. Un atacante podría aprovecharlo para codificar el código fuente de los compiladores que aceptan Unicode, de manera que las vulnerabilidades fuesen introducidas de forma invisible para los revisores humanos. Se ha asignado el identificador CVE-2021-42574 para esta vulnerabilidad.
  • Se ha descubierto una vulnerabilidad en las definiciones de caracteres de Unicode. La especificación permitiría que un atacante produzca identificadores de código fuente, tales como nombres de funciones, utilizando homoglifos que son visualmente idénticos a un identificador de destino. Los atacantes podrían aprovecharlo para inyectar código a través de definiciones de identificadores en dependencias de software upstream invocadas de forma engañosa en software downstream. Se ha asignado el identificador CVE-2021-42694 para esta vulnerabilidad.

Encuesta valoración

Ausencia de cifrado de información sensible en Meross MSS550X

Fecha de publicación: 
04/11/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Smart Wi-Fi 2 Way Wall Switch (MSS550X), versión 3.1.3 y anteriores.

Descripción: 

INCIBE ha coordinado la publicación de una vulnerabilidad en Meross MSS550X, con el código interno INCIBE-2021-0450, que ha sido descubierta por Gerard Fuguet Morales.

A esta vulnerabilidad se le ha asignado el código CVE-2021-3774. Se ha calculado una puntuación base CVSS v3.1 de 9,3; siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.

Solución: 

El problema ha sido solucionado por Meross en MSS550X, versión 3.2.3

Detalle: 

Meross Smart Wi-Fi 2 Way Wall Switch (MSS550X), versión 3.1.3 y anteriores, crea un punto de acceso Wi-Fi sin las medidas de seguridad requeridas en la instalación inicial.

Esto podría permitir a un atacante remoto obtener el SSID de la Wi-Fi, así como la contraseña configurada por el usuario desde la app de Meross, a través de una solicitud Http/JSON.

CWE-311: Ausencia de cifrado de información sensible.

Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.

Encuesta valoración