Cisco ha lanzado actualizaciones para abordar un conjunto de nueve fallas de seguridad en sus conmutadores de la serie Small Business que podrían ser explotados por un atacante remoto no autenticado para ejecutar código arbitrario o causar una condición de denegación de servicio (DoS).
“Estas vulnerabilidades se deben a una validación incorrecta de las solicitudes que se envían a la interfaz web”, Cisco dichodando crédito a un investigador externo no identificado por informar los problemas.
Cuatro de las nueve vulnerabilidades tienen una calificación de 9,8 sobre 10 en el sistema de calificación CVSS, lo que las convierte en críticas por naturaleza. Los nueve defectos afectan a las siguientes líneas de productos:
- Conmutadores inteligentes de la serie 250 (corregidos en la versión de firmware 2.5.9.16)
- Switches administrados de la serie 350 (corregidos en la versión de firmware 2.5.9.16)
- Switches administrados apilables de la serie 350X (corregidos en la versión de firmware 2.5.9.16)
- Switches administrados apilables de la serie 550X (corregidos en la versión de firmware 2.5.9.16)
- Conmutadores inteligentes de la serie Business 250 (corregidos en la versión de firmware 3.3.0.16)
- Conmutadores gestionados de la serie Business 350 (corregidos en la versión de firmware 3.3.0.16)
- Conmutadores inteligentes de la serie 200 para pequeñas empresas (no se parchearán)
- Conmutadores administrados de la serie 300 para pequeñas empresas (no se parchearán)
- Conmutadores administrados apilables de la serie 500 para pequeñas empresas (no se aplicarán parches)
Una breve descripción de cada uno de los defectos es la siguiente:
- CVE-2023-20159 (Puntuación CVSS: 9,8): Vulnerabilidad de desbordamiento del búfer de pila de switches Cisco Small Business Series
- CVE-2023-20160 (Puntuación CVSS: 9,8): Vulnerabilidad de desbordamiento de búfer BSS no autenticado de Cisco Small Business Series Switches
- CVE-2023-20161 (Puntuación CVSS: 9,8): Vulnerabilidad de desbordamiento del búfer de pila no autenticado de Cisco Small Business Series Switches
- CVE-2023-20189 (Puntuación CVSS: 9,8): Vulnerabilidad de desbordamiento del búfer de pila no autenticado de Cisco Small Business Series Switches
- CVE-2023-20024 (Puntuación CVSS: 8,6): Vulnerabilidad de desbordamiento del búfer de almacenamiento dinámico no autenticado de los switches Cisco Small Business Series
- CVE-2023-20156 (Puntuación CVSS: 8,6): Vulnerabilidad de desbordamiento del búfer de almacenamiento dinámico no autenticado de los switches Cisco Small Business Series
- CVE-2023-20157 (Puntuación CVSS: 8,6): Vulnerabilidad de desbordamiento del búfer de almacenamiento dinámico no autenticado de los switches Cisco Small Business Series
- CVE-2023-20158 (Puntuación CVSS: 8,6): Vulnerabilidad de denegación de servicio no autenticada de Cisco Small Business Series Switches
- CVE-2023-20162 (Puntuación CVSS: 7,5): Vulnerabilidad de lectura de configuración no autenticada de switches Cisco Small Business Series
La explotación exitosa de los errores antes mencionados podría permitir que un atacante remoto no autenticado ejecute código arbitrario con privilegios de root en un dispositivo afectado mediante el envío de una solicitud especialmente diseñada a través de la interfaz de usuario basada en la web.
Alternativamente, también se podría abusar de ellos para desencadenar una condición DoS o leer información no autorizada en sistemas vulnerables por medio de una solicitud maliciosa.
Aprenda a detener el ransomware con protección en tiempo real
Únase a nuestro seminario web y aprenda cómo detener los ataques de ransomware en seco con MFA en tiempo real y protección de cuenta de servicio.
Cisco dijo que no planea lanzar actualizaciones de firmware para Small Business 200 Series Smart Switches, Small Business 300 Series Managed Switches, Small Business 500 Series Stackable Managed Switches, ya que han entrado en el proceso de fin de vida útil.
El importante equipo de redes también dijo que está al tanto de la disponibilidad de un código de explotación de prueba de concepto (PoC), pero señaló que no observó ninguna evidencia de explotación maliciosa en la naturaleza.
Dado que los dispositivos de Cisco se están convirtiendo en un vector de ataque lucrativo para los actores de amenazas, se recomienda a los usuarios actuar rápidamente para aplicar los parches para mitigar las amenazas potenciales.