Se han detectado varias vulnerabilidades, una de ellas crítica, en productos Cisco con software IOS o IOS XE, catalogadas de Importancia: 5  – Crítica

Recursos afectados:

  1. Mútiples productos, principalmente switches de la series Catalyst e IE (Industrial Ethernet) que acepten conexiones entrantes Telnet. Se puede encontrar un listado completo de los productos afectados aquí.
  2. Dispositivos que ejecuten Cisco IOS o Cisco IOS XE y que soporten ANI (Autonomic Networking Infrastructure) cumpliendo además uno de los dos puntos siguientes:
  3. El dispositivo debe estar configurado como autonomic registrar y debe tener una lista blanca configurada.
  4. ANI puede estar o no configurado y debe tener configurada una IPv6 alcanzable en una de sus interfaces.

Detalle e imapcto de las vulnerabilidades detectadas

  • Vulnerabilidad crítica: una vulnerabilidad en el protocolo CMP (Cisco Cluster Management Protocol), que usa Telnet internamente, podría permitir que un atacante remoto y no autenticado provocase un reinicio del dispositivo o tomáse el control del mismo mediante el envío de paquetes Telnet especialmente diseñados que contienen opciones específicas del protocolo CMP. Se ha reservado el identificador CVE-2017-3881 para esta vulnerabilidad.
  • Vulnerabilidad alta que afecta dispositivos configurados como autonomic registrar: debido a una validación incompleta de ciertos paquetes autonomic network channel discovery especialmente diseñados, un atacante no autenticado, podría causar el reinicio de un dispositivo afectado. Se ha reservado el identificador CVE-2017-3849 para esta vulnerabilidad.
  • Vulnerabilidad alta que afecta a IPv6: debido a una validación incompleta de paquetes IPv6 especialmente diseñados, un atacante remoto y no autenticado podría causar el reinicio de un dispositivo afectado. Se ha reservado el identificador CVE-2017-3850 para esta vulnerabilidad.

Recomendación

  1. Para la vulnerabilidad crítica, actualmente no existe actualización de software, sin embargo, puede eliminarse el vector de ataque si se deshabilita el acceso al dispositivo vía Telnet habilitando SSH en su lugar. Si esto no fuera posible, puede reducirse la superficie de ataque implementando iACLs.
  2. Para las vulnerabilidades de criticidad alta existen actualizaciones de software en el sitio de Cisco. Además para la vulnerabilidad que afecta a IPv6, si no se desea actualizar el software, puede aplicarse la solución descrita aquí en el apartado Workaround.

Más información

Fuente: INCIBE

Anuncios