Boletines de Vulnerabilidades

int(6636)

Boletines de Vulnerabilidades

Actualizaciones de productos Cisco
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Obtener acceso
Dificultad	Avanzado
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	Networking
Software afectado	Cisco Wireless LAN Controllers (Cisco WLC) Cisco Prime LAN Management Solution (LMS) Virtual Appliance con sistema operativo Linux, versiones 4.1, 4.2, 4.2.1, 4.2.2 Cisco Unified IP Phones serie 7900 versiones 9.3 (1) SR1 y anteriores Cisco Telepresence Video Communication Server Cisco Adaptive Security Appliance (ASA) 1000V Cisco WebEx Training Center Cisco VPN Client for Windows Cisco NX-OS Software
Descripción
El fabricante Cisco Systems ha publicado varios boletines y avisos de seguridad con actualizaciones para solucionar vulnerabilidades en sus productos, algunas de ellas consideradas como críticas. Boletines de seguridad: • cisco-sa-20130109-LMS: vulnerabilidad en Cisco Prime LMS Virtual Appliance podría permitir a un atacante remoto sin autenticación ejecutar código con privilegios de administración (usuario root), mediante el envío de órdenes a determinados puertos TCP (CVE-2012-6392). • cisco-sa-20130123-wlc: dos vulnerabilidades en los sistemas Cisco WLC podrían ser aprovechadas por un atacante con autenticación para ejecutar código y modificar la configuración del dispositivo (CVE-2013-1104, CVE-2013-1105). Otras vulnerabilidades permitirían a un atacante remoto sin autenticación provocar una denegación de servicio mediante el reinicio del dispositivo con paquetes del protocolo SIP (CVE-2013-1102, CVE-2013-1103). • cisco-sa-20130109-uipphone: vulnerabilidad de validación de entrada a los dispositivos Cisco Unified IP Phones de la serie 7900 que permitiría a un atacante local (con acceso físico) o remoto con autenticación (mediante SSH), manipular la memoria del dispositivo y tomar el control del dispositivo (CVE-2012-5445). • cisco-sa-20130116-asa1000v: vulnerabilidad de denegación de servicio en los dispositivos Cisco ASA podría permitir a un atacante remoto sin necesidad de autenticación, provocar el reinicio del dispositivo mediante paquetes de tipo H.323 maliciosos (CVE-2012-5419) . Otras vulnerabilidades publicadas por el fabricante como "notas de seguridad", de gravedad baja o media: • CVE-2012-5444: vulnerabilidad en Cisco Telepresence VCS podría permitir a un atacante remoto sin autenticación acceder a servicios no autorizados, mediante el servicio de políticas. • CVE-2012-6395, CVE-2012-5717: vulnerabilidades de validación incorrecta de entrada y tratamiento incorrecto de sesiones SSH a los dispositivos Cisco ASA, podrían permitir a un atacante remoto con autenticación provocar una denegación de servicio. • CVE-2013-1109: vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en Cisco WebEx Training Center, podría permitir a un atacante podría borrar un test de un usuario autenticado haciendo que visite una URL manipulada. • CVE-2013-1110, CVE-2013-1108: un usuario autenticado del servicio WebEx Training Center podría realizar acciones por encima de sus privilegios, mediante URL manipuladas. • CVE-2012-5429: vulnerabilidad en el cliente Cisco VPN podría permitir a un atacante local con autenticación provocar una denegación de servicio en el sistema cliente. • CVE-2012-6396: vulnerabilidad de denegación de servicio por agotamiento de recursos en el software Cisco NX-OS de los dispositivos Cisco Nexus 7000. • CVE-2012-6397: vulnerabilidad de tipo XSS en el servicio WebEx Social.
Solución
Consultar los boletines de seguridad publicados por el fabricante, y aplicar los parches públicos por los productos afectados.
Identificadores estándar
Propiedad	Valor
CVE	CVE-2013-1102 CVE-2013-1103 CVE-2013-1104 CVE-2013-1105 CVE-2013-1108 CVE-2013-1109 CVE-2013-1110 CVE-2012-5419 CVE-2012-5429 CVE-2012-5444 CVE-2012-5445 CVE-2012-5717 CVE-2012-6392 CVE-2012-6395 CVE-2012-6396 CVE-2012-6397
BID
Recursos adicionales
Cisco Prime LAN Management Solution Command Execution Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130109-lms Multiple vulnerabilidad in Cisco Wireless LAN Controllers http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130123-wlc Cisco Unified IP Phone Local Kernel System Call Input Validation Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130109-uipphone Cisco ASA 1000V Cloud Firewall H.323 Inspection Denial of Service Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130116-asa1000v Cisco Telepresence Video Communication Server Vulnerability in Policy Services http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2012-5444 Cisco Adaptive Security Appliance CIFS UNC Input Validation Issue http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2012-6395 Cisco Adaptive Security Appliance SSH timeout Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2012-5717 Cross-Site Request Forgery Vulnerability in testingLibraryAction.do http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-1109 Cisco WebEx Enable / Disable Availability of Recordings http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-1110 Cisco WebEx Cancel Hands-on Lab Session Reservation http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-1108 Cisco VPN Client Denial of Service Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2012-5429 Cisco Nexus 7000 Denial of Service Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2012-6396 Cisco WebEx Social Cross-site Scripting Vulnerability in RSS Service http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2012-6397