Cisco lanza parches de seguridad para vulnerabilidades en varios de sus productos

Cisco ha lanzado actualizaciones de seguridad que mitigan múltiples vulnerabilidades en sus productos Cisco Email Security Appliance (ESA), Cisco AsyncOS entre otros, y advirtió que los actores malintencionados podrían explotar estos errores para realizar ataques de cross-site scripting (XSS), denegación de servicio (DoS), entre otros.

Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Alta” y 2 (dos) de severidad “Media”. Estas son, CVE-2022-20653CVE-2022-20750CVE-2022-20659, que se detallan a continuación:

  • CVE-2022-20653 de severidad alta, con una puntuación de 7.5. Esta vulnerabilidad se debe a un manejo de errores insuficiente en la resolución de nombres en el componente de verificación de correo electrónico de autenticación de entidades con nombre (DANE) basado en DNS. Un atacante remoto no autenticado podría aprovechar esta vulnerabilidad enviando mensajes de correo electrónico con formato especial para provocar denegación de servicio (DoS) en el dispositivo afectado.

Nota‎‎: La función DANE no está habilitada de forma predeterminada.‎

Para determinar si DANE está configurado, consulte la página web ‎‎Directivas de correo‎‎ > ‎‎Controles de destino‎‎ > ‎‎Agregar destino‎‎ y compruebe si la opción Compatibilidad con DANE está habilitada.‎

  • CVE-2022-20750 de severidad media, con una puntuación de 5.3. Esta vulnerabilidad se debe a una validación de entrada incorrecta de un paquete TCP de entrada. Lo que permitiría a un atacante provocar una denegación de servicio (DoS) debido al reinicio del proceso del administrador de puntos de control.‎
  • CVE-2022-20659 de severidad media, con una puntuación de 6.1. Esta vulnerabilidad existe porque la interfaz de administración basada en web no valida correctamente la entrada proporcionada por el usuario. Un atacante remoto no autenticado podría aprovechar esta vulnerabilidad para realizar un ataque de cross-site scripting (XSS) contra un usuario de la interfaz de un dispositivo vulnerable o acceder a información confidencial de dicho dispositivo.‎

Los productos de Cisco afectados son:

  • Dispositivos Cisco ESA, si ejecutan una versión vulnerable del software Cisco AsyncOS con la función DANE habilitada y con los servidores de correo downstream configurados para enviar mensajes de rebote.
  • Cisco RCM para Cisco StarOS Software.
  • Cisco Prime Infrastructure y
  • Cisco EPN Manager.

Recomendamos instalar las actualizaciones correspondientes provistas por Cisco en el siguiente enlace:

Referencias:

Compartir: