Múltiples vulnerabilidades en el software de Cisco ASA

Se ven afectados los dispositivos Cisco ASA 5500 Series Adaptive Security Appliances, Cisco ASA 5500-X Series Next-Generation Firewalls, Cisco ASA Services Module para Switches Cisco Catalyst 6500 Series y Routers Cisco 7600 Series, Cisco ASA 1000V Cloud Firewall y Cisco Adaptive Security Virtual Appliance (ASAv).

Las vulnerabilidades anunciadas comprenden denegaciones de servicioen el Motor de Inspección SQL*NET, en VPN, en IKEv2, en Health and Performance Monitor, en el motor de inspección del protocolo de túneles GPRS, en el motor de inspección SunRPC y en el motor de inspección DNS.

Por otra parte, también existe  una vulnerabilidad de inyección de comandos en VPN, otra en la validación de la entrada de comandos VNMC y otra de inclusión de rutas locales, todas ellas podrían permitir el compromiso total de los dispositivos afectados. Existe otra vulnerabilidad en Clientless SSL VPN que podría permitir la obtención de información interna o el reinicio de los sistemas afectados.

Por otra parte, una vulnerabilidad en el portal de personalización del Clientless SSL VPN puede dar lugar a un compromiso del portal que puede permitir diferentes ataques como cross-site scripting (XSS), robo de credenciales o redirección de usuarios a páginas web maliciosas.

Por último, una vulnerabilidad en la validación de certificados digitales en Smart Call Home puede permitir el salto de la validación de certificados. Esto podría permitir a un atacante obtener acceso a la red interna a través de VPN o acceso de administración al sistema afectado a través de Cisco Adaptive Security Device Management (ASDM).

Cisco ha publicado actualizaciones para todas estas versiones que pueden obtenerse desde el Software Center de Cisco.com en

Multiple Vulnerabilities in Cisco ASA Software