Actualización crítica para Cisco IOS e IOS XE por vulnerabilidad de las herramientas de la CIA

Cisco ha publicado una actualización de seguridad para solucionar una vulnerabilidad crítica en el software IOS de más de 300 modelos de switches Catalyst, que ya había sido anunciada a través de las famosos filtraciones de las herramientas de la CIA a través de WikiLeaks.

El problema, con CVE-2017-3881, reside en el código de tratamiento del protocolo Cisco Cluster Management Protocol (CMP) del software Cisco IOS y Cisco IOS XE que podría permitir a un atacante remoto sin autenticar ejecutar código arbitrario con privilegios elevados.

El protocol CMP utiliza Telnet de forma interna como un protocolo de señalización y comando entre los miembros del clúster. La vulnerabilidad se debe a la combinación de dos factores: un fallo al restringir el uso de opciones Telnet específicas de CMP únicamente a comunicaciones locales e internas entre los miembros del clúster y, en su lugar, aceptar y procesar estas opciones a través de cualquier conexión Telnet a un dispositivo afectado. Y además, el tratamiento incorrecto de opciones Telnet específicas de CMP mal construidas.

Cisco ya había confirmado en marzo que estaba investigando el problema a raíz de las filtraciones Vault 7 de WikiLeaks sobre las herramientas de la CIA. Cisco confirma que no existen contramedidas para evitar esta vulnerabilidad pero se recomienda desactivar el Telnet y emplear SSH como protocolo permitido para las conexiones entrantes, lo que elimina el vector de ataque. Se recomienda consultar la Guía de Cisco para protección de dispositivos Cisco IOS.

El problema afecta a un gran número de modelos de Cisco Catalyst, Cisco Embedded Service, Cisco Enhanced Layer 2 EtherSwitch Service Module, Switches Ethernet Industriales Cisco IE, Cisco Gigabit Ethernet Switch Module (CGESM) for HP, Cisco ME 4924-10GE Switch, Cisco RF Gateway 10 y Cisco SM-X Layer 2/3 EtherSwitch Service Module.

Cisco ha publicado actualizaciones para todos los modelos afectados, se recomienda consultar el aviso publicado y emplear el Cisco IOS Software Checker para determinar si la versión del software IOS está afectada.
Ver información original al respecto en Fuente:
http://unaaldia.hispasec.com/2017/05/actualizacion-critica-para-cisco-ios-e.html