El miércoles, Cisco implementó correcciones para abordar una falla de seguridad crítica que afecta a Email Security Appliance (ESA) y Secure Email and Web Manager que podría ser explotada por un atacante remoto no autenticado para eludir la autenticación.
Asignado el identificador CVE CVE-2022-20798la vulnerabilidad de omisión tiene una calificación de 9,8 sobre un máximo de 10 en el sistema de puntuación CVSS y se deriva de comprobaciones de autenticación incorrectas cuando un dispositivo afectado utiliza el Protocolo ligero de acceso a directorios (LDAP) para la autenticación externa.
“Un atacante podría explotar esta vulnerabilidad ingresando una entrada específica en la página de inicio de sesión del dispositivo afectado”, señaló Cisco en un aviso. “Una explotación exitosa podría permitir que el atacante obtenga acceso no autorizado a la interfaz de administración basada en la web del dispositivo afectado”.
La falla, que dijo que se identificó durante la resolución de un caso del centro de asistencia técnica (TAC), afecta a ESA y Secure Email y Web Manager que ejecutan versiones vulnerables del software AsyncOS 11 y anteriores, 12, 12.x, 13, 13.x, 14 y 14.x y cuando se cumplan las dos condiciones siguientes:
- Los dispositivos están configurados para usar autenticación externa y
- Los dispositivos utilizan LDAP como protocolo de autenticación.
Por separado, Cisco también notificó a los clientes sobre otra falla crítica que afecta a sus enrutadores Small Business RV110W, RV130, RV130W y RV215W que podría permitir que un adversario remoto no autenticado ejecute código arbitrario o que un dispositivo afectado se reinicie inesperadamente, lo que resultaría en una denegación de servicio. (DoS) condición.
El error, rastreado como CVE-2022-20825 (puntaje CVSS: 9.8), se relaciona con un caso de validación de entrada de usuario insuficiente de los paquetes HTTP entrantes. Sin embargo, Cisco dijo que no planea lanzar actualizaciones de software ni soluciones alternativas para resolver la falla, porque los productos han llegado al final de su vida útil.