Cisco es, por derecho propio, una de las empresas con más prestigio en el sector tecnológico. Sus certificaciones son unas de las más demandadas en el mercado laboral y cualquier persona que sienta interés por el mundo de las redes se ha sumergido en alguna ocasión en un emulador de sus dispositivos más reconocidos para probar, en primer persona, el sistema operativo de los dispositivos que, en gran medida, gestionan el tráfico de la red de redes. Pero, claro, no todo sale siempre bien, y como ellos mismos han comunicado, se han detectado 17 vulnerabilidades críticas en su software. La buena noticia es que ya están disponibles las actualizaciones necesarias.
Los problemas de seguridad están relacionados, en la mayoría de los casos, con la API REST, más concretamente con una implementación inadecuada de la misma en el proceso de validación, y afectan a Cisco UCS Director y Cisco UCS Director Express for Big Data. Tal es su importancia que, en la escala que emplea la compañía para valorar el nivel de riesgo de una amenaza, y que puntúa entre cero y diez, estos problemas obtienen un alarmante 9,8.
MS Recomienda
Los problemas que afectan a estos programas son comunes, y abren la puerta tanto a la ejecución de operaciones arbitrarias por parte de personas (atacantes) que no cuenten con los permisos necesarios para ello, como para causar una posible condición de denegación de servicio (DoS) en el dispositivo afectado.
En lo referido al sistema de validación de credenciales de acceso, el problema permite tanto que un atacante remoto no autenticado omita la autenticación y obtenga privilegios administrativos, como que un usuario legítimo pero con permisos limitados puede escalar verticalmente eludiendo las limitaciones inherentes a sus credenciales. En el primer caso, el atacante tendría que enviar una determinada solicitud a la API, mientra que en el segundo la escalada se obtendría enviando un determinado fichero a REST.
En cuanto a la segunda amenaza, y según describe Cisco, podría permitir que un atacante remoto no autenticado omita la autenticación y ejecute llamadas API en un dispositivo afectado. La vulnerabilidad se debe a una validación de control de acceso insuficiente y un uso exitoso de la misma podría permitir al atacante interactuar con la API REST y causar una posible condición de denegación de servicio (DoS) en el dispositivo.
La buena noticia es, sin duda, que el problema de seguridad fue detectado de manera temprana por Steven Seeley (también conocido como mr_me), un experto en seguridad de origen australiano pero afincado en México, que parte en solitario, y otra parte en colaboración con Trend Micro Zero Day Iniciative, informó a Cisco de estas vulnerabilidades.
Así, la compañía ha anunciado, simultáneamente a la publicación de las vulnerabilidades, que ya están disponibles las actualizaciones necesarias para restituir la seguridad del software. Las versiones seguras de las aplicaciones afectadas son UCS Director Release 6.7.4.0 y UCS Director Express para Big Data Release 3.7.4.0.
Fuente:https://www.muyseguridad.net
