El primer problema, con CVE-2016-6397, se debe una vez más a la inclusión de una contraseña estática por defecto, esto puede permitir a un atacante remoto autenticarse en el dispositivo. Esta vez la cuenta afectada es la cuenta por defecto a la que además se le asignan permisos de root.

Este problema afecta a los siguientes productos: 

Cisco ha publicado las siguientes versiones de firmware que corrigen ambos problemas. 

Otras dos vulnerabilidades afectan a routers Cisco RV180 VPN Router y Cisco RV180W Wireless-N Multifunction VPN. En ambos casos los problemas residen en la interfaz web de los dispositivos.

Con CVE-2016-1430, una validación inadecuada de las entradas en peticiones http podría permitir a un atacante remoto sin autenticar ejecutar comandos arbitrarios con privilegios de root. Por otra parte, con CVE-2016-1429, una falta de verificación adecuada y filtrado de la ruta de directorio introducida por el usuario podría permitir a un atacante remoto sin autenticar acceder a archivos arbitrarios del sistema mediante una escala de directorios.

Cisco no ha publicado, ni publicará, actualizaciones del firmware de estos dispositivos, debido a que ambos productos ya no están soportados.

Cisco también confirma una vulnerabilidad (con CVE-2016-1466) en Cisco Unified Communications Manager Instant Messaging (IM) y Presence Service por una validación inadecuada de las cabeceras de paquetes SIP (Session Initiation Protocol). El problema podría permitir a un atacante remoto sin autenticar que el reinicio del proceso del demonio Cisco SIP Proxy Daemon (sipd), lo que permitiría provocar condiciones de denegación de servicio.

Otra vulnerabilidad (con CVE-2016-1468) reside en la interfaz de administración web de Cisco TelePresence Video Communication Server Expressway, debido a un filtrado inadecuado de las entradas del usuario a los scripts del sistema afectados. Esto podría permitir a un atacante remoto sin autenticar ejecutar comandos arbitrarios en los sistemas afectados.

Por último, una vulnerabilidad (con CVE-2016-1474) en la interfaz web de Cisco Prime Infrastructure debido a una protección de iframe html insuficiente, que podría permitir a un atacante remoto sin autenticar realizar ataques Cross-Frame Scripting (XFS).

Los ataques de Cross-Frame Scripting (XFS) no dejan de ser un método para explotar los ya conocidos Cross-Site Scripting (XSS). En un atacante XFS, el atacante aprovecha un fallo específico para acceder a datos privados de un tercer sitio web. El atacante induce al usuario a acceder a una página web controlada por él; la página del atacante carga una página de un tercero en un frame HTML; y entonces mediante la ejecución de JavaScript en la página del atacante puede robar datos de la página del tercero.

una-al-dia (26/06/2015) Claves SSH por defecto en dispositivos Cisco

una-al-dia (31/07/2011) Contraseña por defecto en Cisco TelePresence Recording Server

una-al-dia (13/10/2006) Contraseña por defecto en Cisco Wireless Location Appliances

una-al-dia (26/04/2007) Credenciales por defecto en Cisco NetFlow Collection Engine

una-al-dia (02/07/2015) Cisco tropieza de nuevo con una contraseña por defecto

Antonio Ropero

Twitter: @aropero