Cisco y VMware han lanzado actualizaciones de seguridad para abordar fallas de seguridad críticas en sus productos que podrían ser aprovechadas por actores malintencionados para ejecutar código arbitrario en los sistemas afectados.
La más grave de las vulnerabilidades es una falla de inyección de comandos en Cisco Industrial Network Director (CVE-2023-20036, puntaje CVSS: 9.9), que reside en el componente de la interfaz de usuario web y surge como resultado de una validación de entrada incorrecta al cargar un paquete de dispositivos. .
«Una explotación exitosa podría permitir que el atacante ejecute comandos arbitrarios como NT AUTHORITY\SYSTEM en el sistema operativo subyacente de un dispositivo afectado», dijo Cisco en un aviso publicado el 19 de abril de 2023.
El especialista en equipos de red también resolvió una vulnerabilidad de permisos de archivo de gravedad media en el mismo producto (CVE-2023-20039, puntuación CVSS: 5,5) que un atacante local autenticado podría abusar para ver información confidencial.
Los parches están disponibles en la versión 1.11.3 , y Cisco acredita a un investigador «externo» no identificado por informar los dos problemas.
Cisco también solucionó otra falla crítica en el mecanismo de autenticación externa de la plataforma de simulación de red de Modeling Labs . Registrada como CVE-2023-20154 (puntaje CVSS: 9.1), la vulnerabilidad podría permitir que un atacante remoto no autenticado acceda a la interfaz web con privilegios administrativos.
«Para explotar esta vulnerabilidad, el atacante necesitaría credenciales de usuario válidas que se almacenan en el servidor de autenticación externo asociado», señaló la empresa .
«Si el servidor LDAP está configurado de tal manera que responderá a las consultas de búsqueda con una matriz no vacía de entradas coincidentes (respuestas que contienen entradas de referencia de resultados de búsqueda), se puede explotar esta vulnerabilidad de omisión de autenticación».
Si bien existen soluciones alternativas que tapan el agujero de seguridad, Cisco advierte a los clientes que prueben la efectividad de dichas soluciones en sus propios entornos antes de administrarlas. La deficiencia se corrigió con el lanzamiento de la versión 2.5.1.
VMware envía actualizaciones para Aria Operations for Logs
VMware, en un aviso publicado el 20 de abril de 2023, advirtió sobre una falla crítica de deserialización que afectaba a varias versiones de Aria Operations for Logs (CVE-2023-20864, puntuación CVSS: 9,8).
«Un actor malicioso no autenticado con acceso a la red de VMware Aria Operations for Logs puede ejecutar código arbitrario como root», dijo el proveedor de servicios de virtualización .
VMware Aria Operations for Logs 8.12 corrige esta vulnerabilidad junto con una falla de inyección de comandos de alta gravedad (CVE-2023-20865, puntaje CVSS: 7.2) que podría permitir que un atacante con privilegios de administrador ejecute comandos arbitrarios como root.
«CVE-2023-20864 es un problema crítico y debe repararse de inmediato», dijo la compañía . «Debe destacarse que solo la versión 8.10.2 se ve afectada por esta vulnerabilidad».
La alerta llega casi tres meses después de que VMware detectara dos problemas críticos en el mismo producto ( CVE-2022-31704 y CVE-2022-31706 , puntaje CVSS: 9.8) que podrían resultar en la ejecución remota de código.
Dado que los dispositivos de Cisco y VMware se están convirtiendo en objetivos lucrativos para los actores de amenazas, se recomienda que los usuarios se muevan rápidamente para aplicar las actualizaciones para mitigar las amenazas potenciales.
Fuente y redacción: thehackernews.com
