DiarioTi.com - el diario del profesional TI

Lunes 25 Jun 2018 | Año 19 | Edición 4946
Menu
letter


Contraseña codificada en software de Cisco crea brecha de seguridad

Entre las 22 notificaciones de seguridad presentadas por Cisco la víspera se incluye una alerta crítica, que mediante una contraseña codificada permitiría a atacantes hacerse del control total de un sistema vulnerable.

Diario TI 12/03/18 12:51:52

La contraseña codificada afecta la aplicación Cisco Prime Collaboration Provisioning (PCP), software utilizado para la instalación remota y mantenimiento de otros productos de voz y video de la empresa. En general, PCP es instalado en servidores Linux.

En su anuncio, Cisco escribe que un atacante podría aprovechar esta vulnerabilidad (CVE-2.018 a 0.141) mediante la conexión al sistema afectado a través de Secure Shell (SSH) con la contraseña codificada.

Cabe señalar que la falla solo puede ser explotada por atacantes locales; es decir, personas que tengan acceso al sistema. Asimismo, su nivel de impacto es bajo debido a que solo permite el acceso a cuentas de usuario con privilegios bajos. A pesar de esto, Cisco ha rotulado la brecha de seguridad como “crítica”.

Cisco explica su decisión señalando que aunque esta vulnerabilidad tiene una puntuación base de 5,9 en Common Vulnerability Scoring System (CVSS), que normalmente equivale a un rango de repercusión de seguridad (SIR) medio. “Hay circunstancias que permiten que un atacante obtener privilegios extraordinarios que le permitan acceso root. Por esta razón, se ha optado por un SIR crítico”.

El procedimiento del caso implica que un atacante puede infectar otro dispositivo en la misma red, utilizándolo como proxy para una conexión SSH, situación que habilitaría una intrusión vía internet.

Cisco indica que no hay mitigaciones temporales o soluciones que los administradores puedan implementar por cuenta propia para impedir la explotación de esta brecha en versiones anteriores del software PCP. En lugar de ello, la empresa recomienda instalar a la mayor brevedad los parches que publicó la víspera, y que solucionan el problema.

Fotografía (c) Katherine Welles vía Shutterstock

Cisco afina su oferta de redes auto-adaptables para centros de datos y nubes privadas

Cisco borra accidentalmente datos de clientes en servicio Cloud

Falla en equipos de Cisco los inutiliza en 18 meses

Intel lanza nueva versión de los chips que estropearon hardware de Cisco