Múltiples avisos de seguridad afectan a productos Cisco

18 Mayo 2023
Crítico

 

Cisco ha publicado 10 nuevos avisos de seguridad que contienen 26 vulnerabilidades, de las cuales 9 son de severidad Crítica y 17 de severidad Media.  Estas fallas afectan a productos como:

  • Cisco Firmware
  • Series Smart Switches
  • Cisco ISE
  • Entre otros


Vulnerabilidades de desbordamiento de búfer de los switches Cisco Small Business Series [CVSS: 9.8]

 

CVE-2023-20159: Vulnerabilidad de desbordamiento del búfer de pila de switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en la web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante ejecute código arbitrario con privilegios de root en un dispositivo afectado.

 

CVE-2023-20160: Vulnerabilidad de desbordamiento de búfer BSS no autenticado en switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en la web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante ejecute código arbitrario con privilegios de root en un dispositivo afectado.

 

CVE-2023-20161: Vulnerabilidad de desbordamiento del búfer de pila no autenticado de los switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en la web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante ejecute código arbitrario con privilegios de root en un dispositivo afectado.

 

CVE-2023-20189: Vulnerabilidad de desbordamiento del búfer de pila no autenticado de los switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en la web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante ejecute código arbitrario con privilegios de root en un dispositivo afectado.

 

CVE-2023-20024: Vulnerabilidad de desbordamiento de búfer de almacenamiento dinámico no autenticado en switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante provoque una condición DoS en un dispositivo afectado.

 

CVE-2023-20156: Vulnerabilidad de desbordamiento de búfer de almacenamiento dinámico no autenticado en switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante provoque una condición DoS en un dispositivo afectado.

 

CVE-2023-20157: Vulnerabilidad de desbordamiento de búfer de almacenamiento dinámico no autenticado en switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante provoque una condición DoS en un dispositivo afectado.

 

CVE-2023-20158: Vulnerabilidad de denegación de servicio no autenticada de Cisco Small Business Series Switches

Una vulnerabilidad en la interfaz de usuario basada en web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz de usuario basada en la web. Una explotación exitosa podría permitir que el atacante provoque una condición DoS en un dispositivo afectado.

 

CVE-2023-20162: Vulnerabilidad de lectura de configuración no autenticada de switches Cisco Small Business Series

Una vulnerabilidad en la interfaz de usuario basada en la web de los switches Cisco Small Business Series podría permitir que un atacante remoto no autenticado lea información no autorizada en un dispositivo afectado.

Esta vulnerabilidad se debe a una validación incorrecta de las solicitudes que se envían a la interfaz web. Un atacante podría explotar esta vulnerabilidad enviando una solicitud manipulada a través de la interfaz basada en web. Una explotación exitosa podría permitir que el atacante lea información no autorizada en un dispositivo afectado.

 

  • CVE-2022-20864 [CVSS: 4.6]
    Vulnerabilidad de divulgación de información del software Cisco IOS XE ROM Monitor para switches Catalyst
  • CVE-2023-20110 [CVSS: 6.5]
    Vulnerabilidad de inyección SQL local de Cisco Smart Software Manager
  • CVE-2023-20173, CVE-2023-20174 [CVSS: 4.9]
    Vulnerabilidades de inyección de entidad externa XML de Cisco Identity Services Engine
  • CVE-2023-20166, CVE-2023-20167 [CVSS: 6.0]
    Vulnerabilidades transversales de ruta del motor de servicios de identidad de Cisco
  • CVE-2023-20163, CVE-2023-20164 [CVSS: 6.5]
    Vulnerabilidades de inyección de comandos del motor de servicios de identidad de Cisco
  • CVE-2023-20077, CVE-2023-20087 [CVSS: 4.9]
    Vulnerabilidades de descarga de archivos arbitrarios de Cisco Identity Services Engine
  • CVE-2023-20106, CVE-2023-20171, CVE-2023-20172 [CVSS: 6.5]
    Vulnerabilidades de eliminación arbitraria de archivos y lectura de archivos del motor de servicios de identidad de Cisco
  • CVE-2023-20182, CVE-2023-20183,CVE-2023-20184 [CVSS: 5.4]
    Vulnerabilidades de la API del software Cisco DNA Center
  • CVE-2023-20003 [CVSS: 5.4]
    Vulnerabilidad de omisión de autenticación de usuario invitado de inicio de sesión social en puntos de acceso inalámbricos empresariales de Cisco

El Centro de Ciberinteligencia de Entel CyberSecure recomienda lo siguiente:

  • Cisco recomienda que los clientes deben asegurarse de que los dispositivos que se van a actualizar contengan suficiente memoria y confirmar que las configuraciones actuales de hardware y software seguirán siendo compatibles con la nueva versión. Si la información no es clara, se recomienda a los clientes que se comuniquen con el Centro de asistencia técnica (TAC) de Cisco o con sus proveedores de mantenimiento contratados.
  • Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutoras.

El listado de las CVE se adjunta a continuación:


Tags: #Parche #Vulnerabilidad #Cisco #Switches #ISE


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.