Contáctanos al
1510
Resumen
El Equipo de Respuesta ante Incidentes de Seguridad Informática del Gobierno de Chile, CSIRT de Gobierno, comparte información sobre nuevas vulnerabilidades comunicadas por Cisco para sus productos.
Este informe incluye las medidas de mitigación, consistentes en instalar la última actualización de los productos afectados.
Vulnerabilidades
CVE-2021-40119
CVE-2021-34795
CVE-2021-40112
CVE-2021-40113
CVE-2021-34739
CVE-2021-34741
CVE-2021-40128
CVE-2021-1500
CVE-2021-40115
CVE-2021-40126
CVE-2021-34773
CVE-2021-40127
CVE-2021-40120
CVE-2021-34784
CVE-2021-34701
CVE-2021-34774
CVE-2021-34731
CVE-2021-40124
Impactos
Vulnerabilidades críticas
CVE-2021-40119: Vulnerabilidad en el mecanismo de autenticación SSH de Cisco Policy Suite, que podría permitir a un atacante remoto no autenticado el hacer login en un sistema afectado como root user.
CVE-2021-34795, CVE-2021-40112, CVE-2021-40113: Vulnerabilidades en la interfaz web del Optical Network Terminal (ONT) del Cisco Catalyst Passive Optical Network (PON) podrían permitir a un atacante remoto no autenticado hacer login con una credencial por defecto si el protocolo Telnet está activado, realizar inyección de comandos y modificar la configuración.
Vulnerabilidades de riesgo alto
CVE-2021-34739: Vulnerabilidad en la interfaz web de administración de varios switches Cisco Small Business Series que podría permitir a un atacante remoto no autenticado volver a utilizar credenciales válidas de usuario y ganar acceso no autorizado a la interfaz de administración de un equipo afectado.
CVE-2021-34741: Una vulnerabilidad en el algoritmo de escaneo de emails del software Cisco AsyncOS para Cisco Email Security Appliance (ESA) puede permitir a un atacante remoto realizar un ataque de denegación de servicio contra un equipo afectado.
Productos Afectados
Cisco Policy Suite 21.1.0 y anteriores.
Cisco Catalyst PON Switch CGP-ONT-1P
Cisco Catalyst PON Switch CGP-ONT-4P
Cisco Catalyst PON Switch CGP-ONT-4PV
Cisco Catalyst PON Switch CGP-ONT-4PVC
Cisco Catalyst PON Switch CGP-ONT-
Cisco ESA con una versión vulnerable del software Cisco AsyncOS (13.0 y anteriores, 13.5 y 13.7)
Productos Cisco corriendo una versión afectada del firmware:
250 Series Smart Switches
350 Series Managed Switches
350X Series Stackable Managed Switches
550X Series Stackable Managed Switches
Business 250 Series Smart Switches
Business 350 Series Managed Switches
ESW2 Series Advanced Switches
Small Business 200 Series Smart Switches
Small Business 300 Series Managed Switches
Small Business 500 Series Stackable Managed Switches
Mitigación
Instalar las respectivas actualizaciones entregadas por el proveedor.
Enlaces
https://tools.cisco.com/security/center/publicationListing.x
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cps-static-key-JmS92hNv
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-catpon-multivulns-CE3DSYGr
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-smb-switches-tokens-UzwpR4e5
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40119
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34795
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40112
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40113
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34739
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34741
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40128
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-1500
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40115
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40126
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34773
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40127
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40120
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34784
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34701
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34774
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34731
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40124
Informe:
El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA21-00518-01.