Actualizaciones para múltiples dispositivos Cisco

Cisco ha publicado 23 boletines de seguridad para solucionar otras tantas vulnerabilidades (una crítica, tres de gravedad alta y el resto de importancia media) en múltiples productos que podrían permitir a atacantes provocar condiciones de denegación de servicio, de cross-site scripting, ejecutar código arbitrario o acceder al dispositivo sin autorización.

Los productos afectados son

Cisco Aironet 1830 Series y 1850 Series
Cisco Wireless LAN Controller
Cisco UCS Manager,
Cisco Firepower 4100 Series NGFW
Cisco Firepower 9300
Cisco UCS Director
Cisco Unified Communications Manager
Cisco Registered Envelope Service
Cisco IOS XE
Cisco Prime Infrastructure, Cisco Evolved Programmable Network Manager
Cisco Mobility Express 2800 y 3800 Series Wireless LAN Controllers
Cisco Integrated Management Controller
Cisco Firepower Detection Engine
Cisco ASR 903 y ASR 920
Cisco Aironet 1800, 2800 y 3800
La vulnerabilidad considerada crítica, con CVE-2017-3834, afecta a puntos de acceso Cisco Aironet 1830 Series y Cisco Aironet 1850 Series Access Points con software Cisco Mobility Express que podrían permitir a un atacante remote sin autenticar el acceso y control total de los dispositivos afectados.

Una vez más el fallo que parece afectar de forma recurrente a una gran mayoría de dispositivos Cisco, el recurrente problema de las credenciales estáticas por defecto.

Cuatro vulnerabilidades, tres de ellas consideradas de gravedad alta, afectan a Cisco Wireless LAN Controller y podrían permitir a atacantes remotos sin autenticas provocar condiciones de denegación de servicio (CVE-2017-3832, CVE-2016-9219, CVE-2016-9194 y CVE-2016-9195).

Otras cuatro vulnerabilidades afectan a Cisco Unified Computing System (UCS) Manager, Cisco Firepower 4100 Series Next-Generation Firewall (NGFW) y Cisco Firepower 9300 y podrían permitir atacantes locales autenticados la inyección de comandos a través de la interfaz de línea de comandos (CVE-2017-6602, CVE-2017-6601, CVE-2017-6597 y CVE-2017-6600). Esos mismos dispositivos también sufren una vulnerabilidad de inyección de comandos que podría permitir a un atacante local elevar sus privilegios (CVE-2017-6598).

Por otra parte, una vulnerabilidad en la comprobación de recursos basada en roles en Cisco Unified Computing System (UCS) Director podría permitir a un atacante remoto autenticado obtener información sensible de una máquina virtual en un dominio UCS (CVE-2017-3817).

Dos vulnerabilidades en la interfaz web de Cisco Unified Communications Manager que podrían permitir la realización de ataques de cross-site scripting (CVE-2017-3888) o de inyección SQL (CVE-2017-3886).

Una vulnerabilidad en un script de inicio del software Cisco IOS XE podría permitir a un atacante sin autenticar con acceso físico al sistema la ejecución de comandos arbitrarios con privilegios del usuario root (CVE-2017-6606).

Una vulnerabilidad, con CVE-2016-9197, en el tratamiento de comandos de la interfaz de línea de comandos de los Cisco Mobility Express 2800 y 3800 Series Wireless LAN Controllers podría permitir a atacantes locales autenticados obtener acceso Shell con privilegios de root en el sistema operativo subyacente.

Una vulnerabilidad en la interfaz web de Cisco Prime Infrastructure y Cisco Evolved Programmable Network (EPN) Manager podría permitir a atacantes remotos autenticados accede a información sensible (CVE-2017-3884).

Una vulnerabilidad en la autenticación de Puntos de Acceso Cisco Aironet 1800, 2800 y 3800 podría permitir a aatacantes locales autenticados conseguir acceso root al sistema operative Linux subyacente (CVE-2016-9196).

Una vulnerabilidad de redirección abierta en Cisco Registered Envelope Service (CVE-2017-3889), y vulnerabilidades de denegación de servicio en Cisco IOS XR (CVE-2017-6599), en sistemas Cisco Firepower (CVE-2017-3887 y CVE-2017-3885) y en el tratamiento de paquetes IPv6 en dispositivos Cisco ASR 903 y ASR 920.

Cisco ha publicado actualizaciones para las vulnerabilidades consideradas de gravedad crítica y alta. Se recomienda consultar las alertas publicadas para obtener información sobre disponibilidad de parches y actualizaciones.

Ver información original al respecto en Fuente:
http://unaaldia.hispasec.com/2017/04/actualizaciones-para-multiples.html