Cisco ha emitido una alerta sobre la presencia de cuatro vulnerabilidades críticas que permiten a los atacantes ejecutar código remoto con privilegios de root en varios modelos de switches de su serie Small Business. Las fallas, identificadas como CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 y CVE-2023-20189, recibieron calificaciones de gravedad casi máximas con puntajes base CVSS de 9.8/10.
Vulnerabilidades causadas por validación incorrecta
Las vulnerabilidades son el resultado de una validación incorrecta de las solicitudes enviadas a las interfaces web de los dispositivos afectados. Los atacantes pueden explotarlas mediante solicitudes malintencionadas dirigidas a las interfaces de usuario basadas en la web, sin necesidad de interacción del usuario.
Cisco explicó que las vulnerabilidades no dependen unas de otras, y que una versión de software afectada por una de ellas puede no verse afectada por las demás. Además, se destacó que la explotación exitosa permite a los atacantes no autenticados ejecutar código arbitrario con privilegios de root en dispositivos comprometidos.
Lista de switches afectados
- Switches de la serie 250, gestionados de la serie 350, gestionados apilables de la serie 350X y gestionados apilables de la serie 550X: corregidos en la versión de firmware 2.5.9.16.
- Switches inteligentes de la serie Business 250 y administrados de la serie Business 350: corregidos en la versión de firmware 3.3.0.16.
- Switches inteligentes de la serie 200 para pequeñas empresas, gestionados de la serie 300 para pequeñas empresas y gestionados apilables de la serie 500 para pequeñas empresas: sin parche disponible.
- Cisco indica que el firmware de los switches para pequeñas empresas de las series 200, 300 y 500 no se parcheará, ya que estos dispositivos han entrado en el proceso de fin de vida útil.
El Equipo de Respuesta a Incidentes de Seguridad de Productos de Cisco (PSIRT) también reveló que el código de explotación de prueba de concepto está disponible, lo que podría permitir una explotación activa si los actores de amenazas motivados crean su propia vulnerabilidad.
Cisco advirtió el miércoles que su PSIRT «está consciente de que el código de explotación de prueba de concepto está disponible», lo que podría permitir que los actores de amenazas apunten a dispositivos vulnerables expuestos al acceso remoto. Sin embargo, no ha encontrado evidencia de intentos de explotar las vulnerabilidades en ataques.
Otras alertas de Cisco
Cisco también está trabajando para parchear una vulnerabilidad de XSS en su herramienta de administración de servidores Prime Collaboration Deployment (PCD), informada por Pierre Vivegnis del Centro de Seguridad Cibernética (NCSC) de la OTAN.
Un aviso conjunto publicado por los EE.UU., el Reino Unido y Cisco advirtió que los delincuentes informáticos militares rusos APT28 han estado implementando el malware «Jaguar Tooth» personalizado en los routers Cisco IOS para obtener acceso no autenticado a dispositivos comprometidos.