Vulnerabilidad en equipos CISCO para telefonía IP
Atención a todos los administradores de plataformas CISCO, sobre todo aquellos que operan con teléfonos IP. Cisco lanzó el miércoles actualizaciones de seguridad para abordar una falla crítica que afecta a sus productos de las series IP Phone 6800, 7800, 7900 y 8800.
La vulnerabilidad, rastreada como CVE-2023-20078, tiene una calificación de 9,8 sobre 10 en el sistema de puntuación CVSS y se describe como un error de inyección de comandos en la interfaz de administración basada en la web que surge debido a una validación insuficiente de la entrada proporcionada por el usuario.
La explotación exitosa del error podría permitir que un atacante remoto no autenticado inyecte comandos arbitrarios que se ejecutan con los privilegios más altos en el sistema operativo subyacente.
“Un atacante podría explotar esta vulnerabilidad enviando una solicitud diseñada a la interfaz de administración basada en la web”, dijo Cisco en una alerta publicada el 1 de marzo de 2023.
La empresa también parchó una vulnerabilidad de denegación de servicio (DoS) de alta gravedad que afecta al mismo conjunto de dispositivos, así como al Cisco Unified IP Conference Phone 8831 y al Unified IP Phone 7900 Series.
CVE-2023-20079 (puntaje CVSS: 7.5), también como resultado de una validación insuficiente de la entrada proporcionada por el usuario en la interfaz de administración basada en la web, podría ser abusado por un adversario para causar una condición DoS.
Si bien Cisco lanzó Cisco Multiplatform Firmware versión 11.3.7SR1 para resolver CVE-2023-20078, la compañía dijo que no planea corregir CVE-2023-20079, ya que ambos modelos Unified IP Conference Phone han llegado al final de su vida útil ( final de vida).
La compañía dijo que no tiene conocimiento de ningún intento de explotación malicioso dirigido a la falla. También dijo que las fallas se descubrieron durante las pruebas de seguridad internas.
El aviso se produce cuando Aruba Networks, una subsidiaria de Hewlett Packard Enterprise, lanzó una actualización de ArubaOS para remediar múltiples fallas de inyección de comandos no autenticados y desbordamiento de búfer basado en pila (desde CVE-2023-22747 hasta CVE-2023-22752, puntajes CVSS: 9.8 ) que podría resultar en la ejecución del código.
Además, los clientes solo pueden descargar software para el que tengan una licencia válida, obtenida directamente de Cisco o a través de un distribuidor o socio autorizado de Cisco. En la mayoría de los casos, será una actualización de mantenimiento del software que se compró anteriormente. Las actualizaciones de software de seguridad gratuitas no dan derecho a los clientes a una nueva licencia de software, conjuntos de funciones de software adicionales o actualizaciones de revisión importantes.
La página de soporte y descargas de Cisco en Cisco.com proporciona información sobre licencias y descargas. Esta página también puede mostrar la cobertura de soporte de dispositivos del cliente para los clientes que usan la herramienta Mis dispositivos.
Al considerar las actualizaciones de software, se recomienda a los clientes que consulten regularmente los avisos de los productos de Cisco, que están disponibles en la página de Avisos de seguridad de Cisco, para determinar la exposición y una solución de actualización completa.
En todos los casos, los clientes deben asegurarse de que los dispositivos que se van a actualizar contengan suficiente memoria y confirmar que las configuraciones actuales de hardware y software seguirán siendo compatibles con la nueva versión. Si la información no es clara, se recomienda a los clientes que se comuniquen con el Centro de asistencia técnica (TAC) de Cisco o con sus proveedores de mantenimiento contratados.
