Cisco solicita corregir las vulnerabilidades críticas de seguridad que afectan a UCS

Cisco ha lanzado un conjunto de 17 avisos críticos de seguridad con respecto a las vulnerabilidades de autenticación que afectan a sus servidores UCS. Las vulnerabilidades podrían permitir a los atacantes entrar en los sistemas o causar denegaciones de servicio. "Los problemas son más específicos para los sistemas Director y Express de UCS de Cisco, que permiten a los clientes construir sistemas de nube privada y respaldar procesos automatizados de aprovisionamiento y orquestación para optimizar y simplificar los recursos del centro de datos de entrega", dijo la compañía.

La mayoría de los problemas son el resultado de una debilidad en la API REST, utilizada por varias aplicaciones web, en los productos Cisco afectados. La gravedad de estas vulnerabilidades es 9.8 de 10 en el Sistema de puntuación de vulnerabilidad común (CVSS).

Los siguientes son algunos de los posibles problemas causados ​​por estas vulnerabilidades:

- Una vulnerabilidad en la API REST de UCS Director y UCS Director Express para Big Data podría permitir que un atacante remoto no autenticado omita la autenticación y ejecute acciones arbitrarias con privilegios de administrador en un dispositivo afectado. La vulnerabilidad se debe a una validación insuficiente del control de acceso. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud elaborada a la API REST.

- Una vulnerabilidad en la API REST de UCS Director y UCS Director Express para Big Data podría permitir que un atacante remoto autenticado ejecute código arbitrario con privilegios de root en el sistema operativo subyacente. La vulnerabilidad se debe a una validación de entrada incorrecta. "Un atacante podría explotar esta falla creando un archivo malicioso y enviándolo a la API REST", dijo Cisco.

- Una vulnerabilidad en la API REST de UCS Director y UCS Director Express para Big Data podría permitir que un atacante remoto no autenticado omita la autenticación y ejecute llamadas de API en un dispositivo afectado. La vulnerabilidad se debe a una validación insuficiente del control de acceso. "La explotación exitosa podría permitir al atacante interactuar con la API REST y causar una denegación de servicio (DoS) en el dispositivo afectado", dijo Cisco.

El OEM recuerda que ha entregado actualizaciones de software gratuitas para abordar estas vulnerabilidades y que ha corregido las vulnerabilidades en UCS Director versión 6.7.4.0 y UCS Director Express para Big Data versión 3.7.4.0. "Steven Seeley (mr_me) de Source Incite trabajó con Trend Micro Zero Day Initiative para revelar las fallas, que no han sido explotadas", dijo Cisco.

Otras soluciones para teléfono IP

Además de estos productos UCS, Cisco también emitió otros dos avisos críticos de seguridad esta semana por fallas en sus teléfonos IP. "Primero, una vulnerabilidad en el servidor web de IP Phons del proveedor podría permitir a un atacante remoto no autenticado ejecutar código con privilegios de root o podría reiniciar un teléfono IP afectado, lo que podría conducir a condiciones de denegación del servicio DoS", dijo la firma . La vulnerabilidad afecta a los siguientes productos de Cisco si tienen habilitado el acceso web y están ejecutando una versión de firmware anterior a la primera versión parcheada para este dispositivo:

- Teléfono IP 7811, 7821, 7841 y teléfono de escritorio 7861

- Teléfono IP 8811, 8841, 8845, 8851, 8861 y teléfono de escritorio 8865

- Unified IP Conference Phone 8831

- Teléfono IP inalámbrico 8821 y 8821-EX

Otro problema con el teléfono IP relacionado con la aplicación web para teléfonos IP de Cisco. Esto podría permitir que un atacante envíe una solicitud HTTP al servidor web de un dispositivo de destino. La explotación exitosa podría permitir al atacante ejecutar código de forma remota con privilegios de root o reiniciar un teléfono IP afectado, lo que favorecería las condiciones para una denegación de servicio DoS. "Esta vulnerabilidad está relacionada con el hecho de que el software afectado no verifica los límites de los datos de entrada", dijo Cisco. La compañía ha lanzado actualizaciones de software gratuitas para corregir estos problemas.