Cisco publica actualizaciones de seguridad para corregir graves vulnerabilidades
Cisco ha publicado actualizaciones de seguridad para solucionar dos vulnerabilidades clasificadas como "altas": CVE-2022-20961 y CVE-2022-20956.
Las vulnerabilidades afectan al Motor de Servicios de Identidad de Cisco y podrían permitir a un atacante llevar a cabo múltiples actividades maliciosas.
CVE-2022-20961 tiene una puntuación de gravedad de 8,8 y fue causada por una protección CSRF inadecuada para la interfaz de gestión basada en web de un dispositivo afectado.
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Identity Services Engine ISF podría permitir a un atacante remoto no autenticado llevar a cabo un ataque CSRF de falsificación de solicitud de sitio cruzado y realizar acciones arbitrarias en un dispositivo afectado.
Un atacante remoto puede enviar una petición HTTP malformada para realizar acciones arbitrarias en el dispositivo afectado utilizando los privilegios del usuario objetivo tras convencerle de que visite un sitio web malicioso.
La vulnerabilidad podría permitir a un atacante realizar ataques de secuencia de comandos en sitios cruzados, envenenamiento de la caché web y otras actividades maliciosas. La vulnerabilidad afecta a la versión de Identity Services Engine anterior a la 3.2. Sin embargo, Cisco declaró que no hay pruebas de que la vulnerabilidad haya sido explotada para actividades maliciosas.
El segundo fallo corregido, CVE-2022-20956, tiene una gravedad de 7,1 y está causado por un control de acceso inadecuado en la interfaz de gestión basada en web.
La vulnerabilidad se encuentra en la interfaz de gestión basada en web de Cisco Identity Services Engine (ISE).
Mediante el envío de una solicitud HTTP específicamente diseñada, una amenaza podría aprovechar la vulnerabilidad para saltarse la autorización y acceder a los archivos del sistema. El fallo afecta a las versiones 3.1 y 3.2 de Identity Services Engine. Cisco ha confirmado que existe una prueba de concepto de código de explotación de la vulnerabilidad.
Aunque no existen soluciones para las dos vulnerabilidades, las actualizaciones de seguridad publicadas por Cisco las solucionan en última instancia. Se recomienda a los usuarios que descarguen las últimas actualizaciones para resolver las vulnerabilidades.
Las fuentes de este artículo incluyen un artículo de SecurityOnline.
Consulta esta noticia en nuestro Vblog Tuxcare