TLP: White
Nivel de riesgo: CVSS v3.0: 9.8 [Critico]
Acción Requerida: Aplicar las actualizaciones de seguridad que corrigen las vulnerabilidades en los diferentes productos de Cisco, liberadas por la compañía el 19 de febrero de 2020.
Vector de ataque: Red, Acceso Remoto.
Impacto: El aprovechamiento exitoso de estas vulnerabilidades podría otorgar a un usuario malicioso el control total del sistema afectado a través de la ejecución remota de código arbitrario con permisos elevados.

Descripción

El día de hoy Cisco publicó actualizaciones para corregir algunas fallas de seguridad en varios de sus productos, entre los que se incluyen Cisco Smart Software Manager, Cisco Unified Contact Center Express, Cisco Data Center Network Manager, Cisco AsyncOS, Cisco Email Security Appliance, Cisco Content Security Management Appliance y firmanware de los servidores Cisco UCS C-Series. Los identificadores asignados a estas vulnerabilidades son:

  1. CVE-2020-3158 CVSS v3.0 – 9.8 [Critica]
  2. CVE-2019-1888 CVSS v3.0 – 7.2 [Alta]
  3. CVE-2020-3114 CVSS v3.0 – 8.8 [Alta]
  4. CVE-2020-3112 CVSS v3.0 – 8.8 [Alta]
  5. CVE-2019-1983 CVSS v3.0 – 7.5 [Alta]
  6. CVE-2019-1947 CVSS v3.0 – 8.6 [Alta]
  7. CVE-2019-1736 CVSS v3.0 – 6.2 [Media]

La criticidad de estas vulnerabilidades reside en el hecho de que pueden ser aprovechadas de forma remota y permiten la ejecución de código arbitrario, sin la necesidad de la interacción del usuario. Para aprovechar las vulnerabilidades mencionadas, un atacante debe utilizar una cuenta predeterminada para conectarse al sistema y de esta manera puede obtener acceso de lectura y escritura a los datos del mismo, incluida la configuración de este.

Nivel de riesgo

  • CVSS v3.0: 9.8 [Critico]
  • CVSS v3.0: 7.2 [Alto]
  • CVSS v3.0: 8.8 [Alta]
  • CVSS v3.0: 7.5 [Alta]
  • CVSS v3.0: 8.6 [Alta]
  • CVSS v3.0: 6.2 [Media]

Sistemas/tecnologías afectadas:

Vulnerabilidad CVE-2020-3158

  • Cisco Smart Software Manager On-Prem anteriores a 7-202001.

Vulnerabilidad CVE-2019-1888

  • Cisco Unified Contact Center Express anteriores a 12.5.

Vulnerabilidad CVE-2020-3114

  • Cisco DCNM anteriores a la versión 11.3.

Vulnerabilidad CVE-2020-3112

  • Cisco DCNM anteriores a la versión 11.3.

Vulnerabilidad CVE-2019-1983

  • Cisco AsyncOS anteriores a la versión 11.

Vulnerabilidad CVE-2019-1947

  • Cisco AsyncOS 12.1.0-085
  • Cisco Email Security Appliance 11.1.0-131.

Vulnerabilidad CVE-2019-1736

  • Firepower Management Center (FMC) 1000.
  • Firepower Management Center (FMC) 2500.
  • Firepower Management Center (FMC) 4500.
  • Secure Network Server 3500.
  • Secure Network Server 3600.
  • Threat Grid 5504.

Medidas de erradicación

A continuación se listan las actualizaciones de seguridad liberadas por Cisco para corregir las vulnerabilidades reportadas en esta alerta:

  • Cisco Smart Software Manager On-Prem, versiones 7-202001 y posteriores.
  • Cisco Unified CCX 11.6 (2) ES06.
  • Cisco Unified CCX 12.0 (1) ES03.
  • Cisco DCNM versión 11.3 (1) y posteriores.
  • Cisco AsyncOS 11.0.3-251.
  • Cisco AsyncOS 12.5.0-059.
  • Cisco AsyncOS para ESA 12.5.0-059 y posteriores.
  • FMC 1000 versión 4.0.2h.
  • FMC 2500 versión 4.0.2h.
  • FMC 4500 versión 4.0.2h.
  • Secure Network Server 3500 versión 4.0.2h.
  • Secure Network Server 3600 versión 4.0.4h.
  • Threat Grid 5504 versión 4.0.2h.

Referencias