 |
||
| AVISOS | ||
Vulnerabilidades críticas en IOS e IOS XE de Cisco: publicación de parchesPublicado el: 03/04/2018 Nivel de peligrosidad: Crítico. La Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN-CERT, alerta sobre el lanzamiento por parte de Cisco de una actualización que soluciona tres vulnerabilidades que afectan a dispositivos Cisco IOS e IOS XE. Vulnerabilidades Las vulnerabilidades detectadas son las siguientes: 1) CVE-2018-0171. La vulnerabilidad se puede explotar al enviar un paquete de validación de datos incorrecto al puerto TCP 4786. Esto puede causar buffer overflow, lo que, a su vez, puede provocar denegaciones de servicio y la ejecución de código arbitrario de forma remota y sin autenticación en los dispositivos Smart Install de Cisco IOS e IOS XE. 2) CVE-2018-0150. La vulnerabilidad permite el acceso a los dispositivos Cisco IOS de forma remota y sin autenticación utilizando el usuario y la contraseña predeterminados en el dispositivo e, incluso, acceder al dispositivo con una cuenta con privilegios de nivel 15 que mantenga las credenciales asignadas por defecto. 3) CVE-2018-0151. La vulnerabilidad permite ocasionar buffer overflow en el subsistema Quality of Service (QoS) de los dispositivos Cisco IOS e IOS XE, lo que, a su vez, puede provocar denegaciones de servicio o, incluso, la ejecución de código arbitrario con privilegios elevados. La vulnerabilidad se debe a la comprobación incorrecta de ciertos valores en paquetes que están destinados al puerto UDP 18999 de un dispositivo afectado, pudiéndose explotar mediante el envío de paquetes maliciosos a los dispositivos vulnerables. Recursos afectados
Medidas de mitigación El CCN-CERT recomienda descargar la actualización que ha publicado Cisco, disponible a través de la siguiente URL: Referencias
Atentamente, Equipo CCN-CERT ////////////////////////////////////////////////////////////////////////////////////////// Esta es una lista de notificaciones del CCN-CERT. Por favor, no responda a este correo. Si necesita más información, póngase en contacto con nosotros a través del correo: Síganos en:
////////////////////////////////////////////////////////////////////////////////////////// El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN (www.ccn.cni.es). Este servicio se creó en el año 2006 como el CERT Gubernamental/Nacional español y sus funciones quedan recogidas en la Ley 11/2002 reguladora del Centro Nacional de Inteligencia, el RD 421/2004 regulador del CCN y en el RD 3/2010, de 8 de enero, regulador del Esquema Nacional de Seguridad (ENS), modificado por el RD 951/2015 de 23 de octubre. De acuerdo a todas ellas, es competencia del CCN-CERT la gestión de ciberincidentes que afecten a sistemas clasificados, del Sector Público y de empresas y organizaciones de interés estratégico para el país. Su misión, por tanto, es contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y a afrontar de forma activa las ciberamenazas. Claves PGP Públicas ////////////////////////////////////////////////////////////////////////////////////////// AVISO DE CONFIDENCIALIDAD: |
||
| © 2018 Centro Criptológico Nacional, Argentona 30, 28023 MADRID | ||
