Cisco publicó 14 nuevos avisos de seguridad que contemplan 1 vulnerabilidad crítica, 6 vulnerabilidades altas y 8 vulnerabilidades medias. Las actualizaciones abordan distintas vulnerabilidades que afectan a productos como Cisco UCS Manager, Cisco NX-OS y Cisco Nexus entre otros.
Severidad Crítica
CVE-2021-1577 – Vulnerabilidad de lectura y escritura de archivos arbitrarios del controlador de infraestructura de políticas de aplicaciones de Cisco
Una vulnerabilidad en un punto final de API de Cisco Application Policy Infrastructure Controller (APIC) y Cisco Cloud Application Policy Infrastructure Controller (Cloud APIC) podría permitir que un atacante remoto no autenticado lea o escriba archivos arbitrarios en un sistema afectado.
Esta vulnerabilidad se debe a un control de acceso inadecuado. Un atacante podría aprovechar esta vulnerabilidad mediante el uso de un punto final de API específico para cargar un archivo en un dispositivo afectado. Cisco ha publicado actualizaciones de software que abordan esta vulnerabilidad. No existen soluciones alternativas que aborden esta vulnerabilidad.
Productos vulnerables
Dispositivos Cisco APIC y Cisco Cloud APIC.
Severidad Alta
CVE-2021-1579 – Vulnerabilidad de escalamiento de privilegios de aplicaciones del controlador de infraestructura de políticas de aplicaciones de Cisco
Una vulnerabilidad en un punto final de API de Cisco Application Policy Infrastructure Controller (APIC) y Cisco Cloud Application Policy Infrastructure Controller (Cloud APIC) podría permitir que un atacante remoto autenticado con credenciales de solo lectura de administrador eleve privilegios en un sistema afectado.
Esta vulnerabilidad se debe a un control de acceso basado en roles (RBAC) insuficiente. Un atacante con credenciales de administrador de solo lectura podría aprovechar esta vulnerabilidad enviando una solicitud de API específica mediante una aplicación con credenciales de escritura de administrador.
Productos vulnerables
Dispositivos Cisco APIC y Cisco Cloud APIC
CVE-2021-1578 – Vulnerabilidad de escalamiento de privilegios del controlador de infraestructura de políticas de aplicaciones de Cisco
Una vulnerabilidad en un punto final de API de Cisco Application Policy Infrastructure Controller (APIC) y Cisco Cloud Application Policy Infrastructure Controller (Cloud APIC) podría permitir que un atacante remoto autenticado eleve privilegios de administrador en un dispositivo afectado.
Esta vulnerabilidad se debe a una configuración predeterminada de política incorrecta. Un atacante podría aprovechar esta vulnerabilidad mediante el uso de una credencial sin privilegios para Cisco ACI Multi-Site Orchestrator (MSO) para enviar una solicitud API específica a un dispositivo Cisco APIC o Cloud APIC administrado.
Productos vulnerables
Esta vulnerabilidad afecta a los dispositivos Cisco APIC o Cisco Cloud APIC si ejecutan una versión de software vulnerable y se cumplen las siguientes condiciones:
El dispositivo es administrado por Cisco ACI MSO.
Cisco ACI MSO es de la versión 3.0 (2d) a la versión 3.1 (1i).
Cisco ACI MSO está instalado en un motor de servicios de aplicaciones de Cisco.
CVE-2021-1523 – Conmutadores de estructura Cisco Nexus de la serie 9000 Vulnerabilidad de denegación de servicio de cuña de cola en modo ACI
Una vulnerabilidad en los conmutadores de estructura Cisco Nexus de la serie 9000 en el modo de infraestructura centrada en la aplicación (ACI) podría permitir que un atacante remoto no autenticado provoque una cuña en la cola de un conmutador de hoja, lo que podría provocar la caída del tráfico del plano de control crítico hacia el dispositivo. Esto podría resultar en la eliminación de uno o más interruptores de hoja de la tela.
Productos vulnerables
Esta vulnerabilidad afecta a los conmutadores de estructura Cisco Nexus de la serie 9000 en modo ACI que son modelos de generación 1. de los cuales se consideran vulnerables los siguientes:
- N9K-C9372PX-E
- N9K-C9372TX-E
- N9K ‑ C9332PQ
- N9K-C9372PX
- N9K-C9372TX
- N9K-C9396PX
- N9K-C9396TX
- N9K ‑ C93128TX
- N9K-C93120TX
Mitigación
Se recomienda lo siguiente:
Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización.
Para ello consulte con su personal técnico o áreas resolutorias correspondientes.
El listado de las CVE se adjunta a continuación:
- CVE-2021-1523
- CVE-2021-1577
- CVE-2021-1578
- CVE-2021-1579
- CVE-2021-1580
- CVE-2021-1581
- CVE-2021-1582
- CVE-2021-1583
- CVE-2021-1584
- CVE-2021-1586
- CVE-2021-1587
- CVE-2021-1588
- CVE-2021-1590
- CVE-2021-1591
- CVE-2021-1592
Fuente: www.entel.cl
