Cisco adverte sobre bug de alta gravidade na linha de switches para pequenas empresas

A Cisco Systems alerta para uma falha de alta gravidade que afeta mais de meia dúzia de seus switches de pequenas empresas. A falha pode permitir que atacantes remotos e não autenticados acessem as interfaces de gerenciamento dos comutadores com privilégios administrativos.

São afetados especificamente os da série Smart Switches, série de Managed Switches e da série Stackable Managed Switches. A Cisco afirmou não ter conhecimento da exploração ativa das vulnerabilidades. As atualizações de software que corrigem as falhas estão disponíveis para alguns dos switches afetados; no entanto, outros atingiram o fim da vida útil (EOL) e não receberão um patch.

A falha ( CVE-2020-3297 ), que classifica 8,1 dos 10,0 na escala CVSS, decorre do uso de geração de entropia fraca para valores de identificador de sessão, disse um comunicado de segurança da quarta-feira da Cisco. “Um invasor pode explorar essa vulnerabilidade para determinar um identificador de sessão atual por força bruta e reutilizá-lo para assumir uma sessão em andamento”, de acordo com o comunicado da Cisco .

A vulnerabilidade no gerenciamento de sessões para a interface baseada na Web dos Cisco Small Business Smart e Managed Switches pode permitir que um invasor remoto não autenticado anule as proteções de autenticação e obtenha acesso não autorizado à interface de gerenciamento. O invasor pode obter os privilégios da conta da sessão com highjacked, que pode incluir privilégios de administrador no dispositivo.

A vulnerabilidade se deve ao uso de geração de entropia fraca para valores de identificador de sessão. Um invasor pode explorar essa vulnerabilidade para determinar um identificador de sessão atual por força bruta e reutilizá-lo para assumir o controle de uma sessão em andamento. Dessa maneira, um invasor pode executar ações na interface de gerenciamento com privilégios até o nível do usuário administrativo.

A Cisco lançou atualizações de software que abordam essa vulnerabilidade para dispositivos que ainda não chegaram ao fim da manutenção do software. Não há soluções alternativas que resolvam essa vulnerabilidade.

Os problemas afetados especificamente pelo problema são: Cisco 250 Series Smart Switches, 350 Series Managed Switches, 350X Series Stackable Managed Switches, 550X Series Stackable Managed Switches, Small Business 200 Series Smart Switches, Small Business 300 Series Managed Switches e Small Business 500 Series Stackable Managed Switches.

A Cisco corrigiu o problema na versão de firmware 2.5.5.47. Esta atualização será aplicada a 250 Series Smart Switches, 350 Series Managed Switches, 350X Series Stackable Managed Switches, 550X Series Stackable Managed Switches.

No entanto, a Cisco disse que os Smart Switches para Pequenas Empresas Série 200, os Managed Switches para Pequenas Empresas Série 300 e os Stackable Managed Switchespara Pequenas Empresas Série 500 passaram o marco de manutenção de fim de software. “Embora esses switches sejam vulneráveis, a Cisco não fornecerá uma correção de firmware“, disse a empresa.

A Cisco também divulgou na quarta-feira correções para uma série de falhas de gravidade média , incluindo em seus roteadores RV042 e RV-042G para pequenas empresas, no Centro de Arquitetura de Rede Digital, no mecanismo de serviços de identidade, no Portal de Voz do Cliente Unificado, nos produtos de Comunicação Unificada e no AnyConnect Cliente de mobilidade de segurança.

No início de junho , a gigante das redes também eliminou três falhas de alta gravidade em seu popular aplicativo de conferência na Web Webex, incluindo um que poderia permitir que um invasor não autenticado executasse remotamente o código em sistemas afetados.