Cisco
ha publicado su paquete bianual de alertas de seguridad para el software Cisco
IOS. En esta ocasión la firma distribuye tres avisos que solucionan un total de
cuatro vulnerabilidades en sus routers y switches.
El primero de los boletines
publicados, y el de mayor gravedad, hace referencia a una vulnerabilidad (con CVE-2015-6280)
en la implementación del protocolo SSH versión 2 (SSHv2) de los dispositivos
Cisco IOS e IOS XE que podría permitir a un atacante remoto sin autenticar
evitar la autenticación de usuario.
La vulnerabilidad solo afecta a
dispositivos configurados para usar autenticación de usuario basada en RSA. El
atacante debe conocer un nombre de usuario válido y la clave pública de dicho
usuario.
Otra alerta reside en una
vulnerabilidad (CVE-2015-6282) en el tratamiento de paquetes IPv4 que requieren
servicio NAT (Network Address Translation) y MPLS (Multiprotocol Label
Switching) de software Cisco IOS XE que podría permitir a un atacante remoto
sin autenticar provocar el reinicio de los dispositivos afectados (Cisco ASR
1000 Series, Cisco ISR 4300 Series, Cisco ISR 4400 Series y Routers Cisco Cloud
Services 1000v).
Por último, dos vulnerabilidades en
dispositivos Cisco IOS e IOS XE con IPv6 Snooping activo podrían permitir a un
atacante remoto sin autenticar provocar condiciones de denegación de servicio
(CVE-2015-6278 y CVE-2015-6279).
Al igual que otros fabricantes
Cisco realiza publicaciones conjuntas de las actualizaciones de sus productos
Cisco IOS de forma periódica. Estas se realizan el cuarto miércoles de los
meses de abril y septiembre de cada año.
Cisco ha publicado
actualizaciones gratuitas para corregir todas las vulnerabilidades.
Más información:
Cisco Event Response: September 2015 Semiannual
Cisco IOS and IOS XE Software Security Advisory Bundled Publication
Cisco IOS
and IOS XE Software SSH Version 2 RSA-Based User Authentication Bypass
Vulnerability
Cisco IOS
XE Software Network Address Translation Denial of Service Vulnerability
Cisco IOS
and IOS XE Software IPv6 First Hop Security Denial of Service Vulnerabilities
Antonio Ropero
Twitter: @aropero
