|
Fecha de publicación: 03/03/2023
Nivel de peligrosidad: CRÍTICO
El CCN-CERT, del Centro Criptológico Nacional, avisa de la publicación de varias vulnerabilidades críticas en la interfaz de gestión basada en web de determinados teléfonos IP de Cisco, que podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario o provocar una denegación de servicio (DoS). La primera, a la que se ha asignado el código CVE-2023-20078, consiste en un vulnerabilidad de inyección de comandos en los teléfonos IP de las series 6800, 7800 y 8800 de Cisco.
Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario y podría ser aprovechada por los atacantes si enviaran una solicitud falsa a la interfaz de gestión basada en web.
En segundo lugar se ha publicado la vulnerabilidad CVE-2023-20079, de denegación de servicio en los teléfonos IP de Cisco de las series 6800, 7800, 7900 y 8800. Esta vulnerabilidad podría permitir a un atacante remoto no autenticado provocar la recarga de un dispositivo afectado, dando lugar a una situación de denegación de servicio (DoS).
Estas vulnerabilidades no son dependientes entre sí. No es necesario explotar una de las vulnerabilidades para explotar la otra. Además, una versión de software afectada por una de las vulnerabilidades puede no estar afectada por la otra vulnerabilidad.
El fabricante ha publicado actualizaciones de software que solucionan estas vulnerabilidades y cabe señalar que no existen soluciones alternativas a las mismas.
Recursos afectados
CVE-2023-20078
Esta vulnerabilidad afecta a los siguientes productos Cisco si ejecutan una versión vulnerable de Cisco Multiplatform Firmware:
Teléfono IP Serie 6800 con Firmware Multiplataforma
Teléfono IP Serie 7800 con Firmware Multiplataforma
Teléfono IP Serie 8800 con Firmware Multiplataforma
CVE-2023-20079
Esta vulnerabilidad afecta a los siguientes productos Cisco si ejecutan una versión vulnerable de Cisco Multiplatform Firmware o Cisco Unified Software:
Teléfono IP Serie 6800 con Firmware Multiplataforma
Teléfono IP Serie 7800 con Firmware Multiplataforma
Teléfono IP Serie 8800 con Firmware Multiplataforma
Teléfono de conferencia IP unificado 8831
Unified IP Conference Phone 8831 con firmware multiplataforma
Teléfono IP unificado serie 7900
Productos confirmados no vulnerables
Cisco ha confirmado que estas vulnerabilidades no afectan a los siguientes productos de Cisco:
Adaptador de teléfono analógico ATA 191
Adaptador telefónico analógico multiplataforma ATA 192
Teléfono de conferencia IP 7832
Teléfono de conferencia IP 8832
Repetidor IP DECT 110 con firmware multiplataforma
Estación base IP DECT 210 Multi-Cell
IP DECT 6823 con firmware multiplataforma
Teléfono IP Serie 7800
Teléfono IP 8845 y 8865
Teléfono IP unificado 3905
Teléfono de vídeo 8875
Teléfono de la sala Webex
Compartir Webex
Teléfonos inalámbricos Webex 840 y 860
Teléfono IP inalámbrico 8821
El PSIRT de Cisco no tiene conocimiento de ningún anuncio público o uso malintencionado de la vulnerabilidad que se describe en este aviso.
Fuente
Estas vulnerabilidades fueron detectadas durante unas pruebas de seguridad internas realizadas por Zack Sánchez, del Grupo de Iniciativas de Seguridad Avanzadas (ASIG) de Cisco.
Referencia:
El CCN-CERT recomienda encarecidamente a los usuarios y administradores de sistemas que realicen las actualizaciones mencionadas con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
Atentamente,
Equipo CCN-CERT
|
