Se corrigieron errores críticos de ejecución remota de código en los switches de Cisco para pequeñas empresas.

Esta semana, Cisco solucionó varias vulnerabilidades que afectaban a varios modelos de sus conmutadores para pequeñas empresas que podrían permitir a los atacantes tomar el control completo de los dispositivos de forma remota. Todas las vulnerabilidades se encuentran en la interfaz de administración basada en la web de los dispositivos y se pueden explotar sin autenticación. Si bien la compañía no reveló en qué componentes específicos de la interfaz web residen los errores, sí señaló en su consejo que las vulnerabilidades no son interdependientes y pueden ser explotadas de forma independiente.

Dado que las vulnerabilidades se pueden explotar sin autenticación, podemos concluir que es probable que residan en funciones que no requieren autenticación o para las cuales se puede omitir el mecanismo de autenticación. Lo primero parece más probable ya que ninguno de los errores se describe como eludir la autenticación. Aunque Cisco aún no tiene conocimiento de ninguna explotación maliciosa de estas vulnerabilidades, la compañía señaló que el código de explotación de prueba de concepto para estas vulnerabilidades ya está disponible públicamente.

Los atacantes deben tener acceso a la interfaz de administración web. Esto se puede lograr directamente al tener la interfaz de administración expuesta a Internet, o indirectamente al establecerse primero en una red interna mediante un conmutador vulnerable.

Las vulnerabilidades de Cisco pueden provocar el compromiso total del dispositivo, la denegación de servicio y la fuga de datos

Cuatro de las vulnerabilidades se describen como desbordamientos de búfer y se pueden explotar para permitir que se ejecute código arbitrario con privilegios de root (administrador). Esto generalmente conduce a un compromiso completo del dispositivo.

Estas cuatro vulnerabilidades se rastrean como CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 y CVE-2023-20189. Todos tienen una calificación de 9,8 sobre 10 en la escala de gravedad CVSS. Otras cuatro vulnerabilidades también se describen como condiciones de desbordamiento de búfer, pero solo pueden conducir a una condición de denegación de servicio contra dispositivos vulnerables cuando se procesan solicitudes creadas con fines maliciosos. Los errores se rastrean como CVE-2023-20156, CVE-2023-20024, CVE-2023-20157 y CVE-2023-20158 y tienen una clasificación de gravedad de 8,6.

El último error se describe como un error al leer la configuración y puede llevar a atacantes sin autenticación a leer información no autorizada de un dispositivo afectado. El error rastreado como CVE-2023-20162 tiene una clasificación de gravedad de 7,5 (alta).