Cisco corrige bugs de ‘alta gravidade’

A Cisco Systems divulgou oito bugs de alta gravidade que afetam uma variedade de seus equipamentos de rede, incluindo seus switches e soluções de armazenamento de fibra. O NX-OS da Cisco foi o mais atingido, com seis alertas de segurança vinculados ao sistema operacional de rede que sustenta os switches Ethernet da série Nexus e os switches de rede de área de armazenamento Fibre Channel da série MDS.

Patches estão disponíveis para todas as vulnerabilidades, de acordo com um Cisco Security Advisory publicado na quarta-feira. Além dos oito bugs de alta gravidade corrigidos, a Cisco também corrigiu uma falha (CVE-2020-3504) listada como de gravidade média que impacta o software de gerenciamento Cisco Unified Computing System.

Vulnerabilidades de alta gravidade que afetam o software NX-OS da Cisco incluem CVEs rastreados como CVE-2020-3397 , CVE-2020-3398 , CVE-2020-3338 , CVE-2020-3415 , CVE-2020-3517 e CVE-2020-3454.

Dois bugs ( CVE-2020-3397 e CVE-2020-3398 ) são “vulnerabilidades de negação de serviço da VPN do Border Gateway Protocol Multicast do software Cisco NX-OS”, de acordo com o boletim de segurança. Ambas as vulnerabilidades permitem que um invasor lance um ataque DoS parcial ou prolongado por meio de redefinições de sessão e recarregamento de dispositivo.

“A vulnerabilidade se deve à validação de entrada incompleta de um tipo específico de mensagem de atualização BGP MVPN. Um invasor pode explorar esta vulnerabilidade enviando esta mensagem de atualização BGP MVPN válida e específica para um dispositivo de destino ”, escreveu a Cisco sobre CVE-2020-3397. O outro bug da VPN é devido à análise incorreta de um tipo específico de mensagem de atualização BGP MVPN.

A Cisco também relatou um bug ( CVE-2020-3338 ) no contexto de seu software NX-OS subjacente ao IPv6 Protocol Independent Multicast (PIM). “Os PIMs são usados ​​entre os switches para que possam rastrear quais pacotes multicast encaminhar uns para os outros e para suas LANs diretamente conectadas”, de acordo com Cisco.

A vulnerabilidade permite que um atacante remoto não autenticado cause uma condição de negação de serviço (DoS) em um dispositivo afetado, disse a Cisco. Vulneráveis ​​são os switches da série Nexus 3000 (CSCvr91853), os switches da série Nexus 7000 (CSCvr97684) e os switches da série Nexus 9000 no modo autônomo NX-OS (CSCvr91853).

Um dos bugs corrigidos mais interessantes é o bug de injeção de comando Call Home do software NX-OS que pode permitir que um invasor remoto autenticado injete comandos arbitrários que podem ser executados com privilégios de root no sistema operacional subjacente.

“A vulnerabilidade se deve à validação de entrada insuficiente de parâmetros de configuração específicos do Call Home quando o software é configurado para o método de transporte HTTP. Um invasor pode explorar esta vulnerabilidade modificando os parâmetros na configuração do Call Home em um dispositivo afetado ”, alertou Cisco.

São nove switches Cisco afetados, desde Switches multicamadas da série MDS 9000 até a plataforma de comutação Nexus 9500 R-Series.

Fonte: https://threatpost.com/cisco-high-severity-bugs-impact-switches-fibre-storage/158691/