CISCO UCS: falha crítica assusta usuários

O gigante das redes informou aos clientes na quarta-feira dia 21 que o seu Unified Computing System (UCS) Performance Manager é atormentado por uma falha crítica de validação de entrada, que poderia permitir que um atacante remoto seja autenticado para executar comandos arbitrários com privilégios de ROOT, usando solicitações HTTP GET especialmente criadas. A questão foi apontada em CVE-2016-1374.

A falha de segurança, relatado por Gregory Draperi, afeta as versões Performance Manager Cisco UCS 2.0.0 e anteriores, e isso foi resolvido com o lançamento da versão 2.0.1. A empresa diz que não há provas de que a vulnerabilidade foi explorada para fins maliciosos.

A Cisco também informou clientes que alguns de seus produtos são afetados por CVE-2016-5080 , uma falha identificada por pesquisadores no compilador ASN.1C. A fraqueza expõe dispositivos móveis, equipamentos de comutação e sistemas críticos de gerenciamento de infraestrutura a ataques remotos.

No caso da Cisco, a empresa determinou que o problema afeta seus roteadores da série ASR 5000 que executam sistemas virtualizados Packet Core (VPC) StarOS e. Um atacante remoto pode causar uma condição de negação de serviço (DoS) e possivelmente até mesmo executar um código arbitrário através da apresentação de uma mensagem ASN.1 malicioso.

A vulnerabilidade afeta Cisco ASR 5000 executando versões StarOS 17.x, 18.x, 19.x e 20.x, e versões VPC V18.x, V19.x e V20.x. A empresa está trabalhando em liberar patches - mas não há soluções alternativas disponíveis.

Enquanto a CVE-2016-5080 é considerada uma falha crítica, especialistas apontam que não é fácil de explorar: "Para fazer uso da vulnerabilidade, o invasor precisa de conhecimento muito específico do dispositivo de destino e a capacidade de inserir comunicações livremente para dentro do canal. Seria provável ser um esforço significativo e recursos para realizar uma façanha que de forma confiável abrir um sistema de telecomunicações para atacar ", Bill Anderson, especialista em criptografia e executivo da OptioLabs.

Entretanto, se considerarmos que Governos possuem tais recursos e que tais equipamentos estão inseridos ou em bordas de instalações industriais, comerciais e do Setor Público em todo o mundo, podemos estimar que certos alvos compensam - e muito - o investimento feito no ataque.