Cisco soluciona 23 vulnerabilidades en múltiples dispositivos

Cisco ha publicado 23 boletines de seguridad para solucionar otras tantas vulnerabilidades (tres de gravedad críticauna de gravedad alta y el resto de importancia media) en múltiples productos que podrían permitir la ejecución de código arbitrario, provocar denegaciones de servicio, realizar ataques de Cross-Site Scripting, inyectar comandos, acceder al dispositivo sin autorización entre otros ataques.

Los productos afectados son:

  • Cisco 550X Series Stackable Managed Switches SNMP
  • Cisco Data Center Network Manager
  • Cisco Identity Services Engine
  • Cisco IOS e IOS XE Software Cluster Management Protocol
  • Cisco Prime Collaboration Provisioning
  • Cisco Prime Data Center Network Manager
  • Cisco Registered Envelope Service
  • Cisco Secure Access Control Server
  • Cisco Secure Access Control System
  • Cisco Security Manager DesktopServlet
  • Cisco StarOS CLI
  • Cisco UCS Director
  • Cisco Videoscape AnyRes Live
  • Cisco Web Security Appliance

La primera vulnerabilidad considerada crítica afecta a Cisco Prime Collaboration Provisioning (PCP). Con CVE-2018-0141, una vez más, el uso de contraseñas estáticas por defecto podría permitir a un atacante local sin autenticar acceder al sistema y posteriormente conseguir permisos administrativos.

Con CVE-2018-0147, una vulnerabilidad en Cisco Secure Access Control System (ACS) podría permitir a un atacante remoto no autenticado ejecutar código arbitrario debido a un error a la hora de deserializar código Java.

La última vulnerabilidad crítica (CVE-2017-3881) permitiría también la ejecución remota de código arbitrario en Cisco Cluster Management Protocol (CMP) debido a errores a la hora de restringir y validar comandos Telnet específicos del protocolo CMP.

El primer problema considerado de gravedad alta afecta al software Cisco Web Security Appliance y permitiría a un atacante remoto acceder al servidor FTP sin conocer la contraseña, tan solo proporcionando un nombre de usuario válido.

Otros problemas de gravedad media son:

  • Revelación de información sensible mediante ataques de canal lateral a la CPU (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754)
  • Ataques de Cross-Site scripting en Cisco Videoscape AnyRes Live (CVE-2018-0220)
  • Ataques de Cross-Site scripting en Cisco UCS Director (CVE-2018-0219)
  • Inyección de comandos en Cisco StarOS CLI (CVE-2018-0224, CVE-2018-0217)
  • Cross-Site Scripting reflejado en Cisco Security Manager DesktopServlet (CVE-2018-0223)
  • Cross-Site Scripting en Cisco Registered Envelope Service (CVE-2018-0208)
  • Cross-Site Scripting en Cisco Prime Data Center Network Manager (CVE-2018-0144)
  • Inyección de comandos, CSRF, elevación de privilegios y denegación de servicio en Cisco Identity Services Engine (CVE-2018-0221, CVE-2018-0216, CVE-2018-0215, CVE-2018-0214, CVE-2018-0213, CVE-2018-0212, CVE-2018-0211)
  • CSRF en Cisco Data Center Network Manager (CVE-2018-0210)
  • Inyección de entidades XML externas en Cisco Secure Access Control Server (CVE-2018-0207)
  • Denegación de servicio en Cisco 550X Series Stackable Managed Switches (CVE-2018-0209)

Se recomienda consultar las alertas publicadas para obtener información sobre disponibilidad de parches y actualizaciones.

Más información:

Cisco Security Advisories and Alerts
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&last_published=2018+Mar&sort=-day_sir&limit=50#~Vulnerabilities

CPU Side-Channel Information Disclosure Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180104-cpusidechannel

Una de espías: La revolución de las aguas turbias

Investigadores pertenecientes a la compañía de seguridad informática Trend Micro denuncian una campaña de espionaje informático muy similar a MuddyWater, una campaña previa de orígenes confusos

MuddyWater. Éste es el nombre con el que investigadores de seguridad informática bautizaron la campaña de espionaje informático que atacó principalmente a organizaciones de Oriente Medio y Asia. El nombre viene a significar “agua turbia” (“embarrada” quizás), que fue la forma que tuvieron aquellos investigadores de transmitir ya sólo con leer el nombre que la cosa no estaba muy clara. Desde principios de año, en Trend Micro han estado investigando otra campaña muy parecida a ésta, y se atreven a asumir que están relacionadas por sus múltiples parecidos.

Lo cierto es que es la misma película de siempre. Malware espía, correos que suplantan agencias gubernamentales dirigidos a otras organizaciones gubernamentales, industrias, telecos… Los autores saben lo que hacen, y dejan pistas falsas en los distintos ejecutables involucrados en el ataque, que confunden a los investigadores. Los sospechosos habituales de este tipo de ataques: organizaciones con fines políticos y respaldadas por estados. El objetivo: espionaje clásico puro y duro, como el de las películas en blanco y negro, pero con herramientas modernas.

Muddy Waters, el padre del Chicago blues, poniendo cara de chino

El parecido entre MuddyWater y la nueva campaña no termina en el modus operandi y las técnicas de ingeniería social usadas, sino que a nivel técnico usan básicamente las mismas herramientas y métodos de comunicación entre el servidor de control maligno y los infectados. Entre otros:

  • La cadena de ejecutables descargados y ejecutados es la misma (script en Visual Basic que ejecuta otro script en PowerShell)
  • Los métodos de ofuscación coinciden
  • Las variables internas se parecen
  • Una de las técnicas usadas contra análisis de malware es idéntica

Otro aspecto técnico que llama la atención es el uso de cientos de sitios vulnerados que son usados por este malware como proxies (servidores intermedios) para acceder al servidor de control maligno. Presumiblemente para dificultar el rastreo de las comunicaciones con el fin de hallar el origen de la amenaza.

También existen otros aspectos no técnicos que llaman la atención, como la utilización de frases en chino básicamente sacadas de Google Translator (a saber con qué objetivo), o el gran sentido del humor que se gastan los atacantes… En una de las peticiones que los investigadores realizaban al servidor de control maligno con el fin de obtener información, la respuesta que obtuvieron contenía el mensaje “Stop!!! I Kill You Researcher.“, al más puro estilo Achmed the Dead Terrorist.

De nuevo, nos quedamos sin saber quiénes son los responsables de otro ataque de espionaje. Estos chinos lo disimulan cada vez mejor…

Más información:
 

Vulnerabilidad en EXIM permitiría ejecución remota de código

La vulnerabilidad se encuentra presente desde la primera versión de EXIM y afectaría al menos a 400 mil servidores que ejecutan este servidor de correo

Un investigador de Devco.re (Meh Chang) reportó el día 5 de febrero el descubrimiento de esta vulnerabilidad en las listas de correo de seguridad de EXIM, identificándose al día siguiente con el CVE-2018-6789, y lanzándose una versión ya parcheada (4.90.1) el día 10 del mismo mes. Según el mismo sitio web de Exim, todas las versiones anteriores a dicha versión deben considerarse obsoletas.

Exim es uno de los servidores de correo electrónico de código abierto más populares, estando disponible tanto para sistemas tipo UNIX como para Windows. Desarrollado por la Universidad de Cambridge en 1995, es en la actualidad el MTA por defecto de Debian y otras distribuciones GNU/Linux.

Fragmento del código vulnerable. Fuente: devco.re

El fallo descubierto se encontraría en la función b64decode’, utilizada por métodos de autenticación como ‘CRAM-MD5’ (utilizado por defecto). Cualquier método de autenticación que haga uso de dicha función es vulnerable. El fallo sería explotable mediante un base64 inválido especialmente manipulado, el cual provocaría un desbordamiento en el buffer.

La vulnerabilidad se aprovecha del tamaño de buffer que asigna la función, el cual es de ‘3*(len/4)+1’. Normalmente esto no sería un problema, pero si se utiliza un base64 inválido de tamaño ‘4n+3’, la función asignará un tamaño de ‘3n+1’, pero utilizará ‘3n+2’. Esto acaba provocando que el buffer se desborde por un byte. Puede verse más información sobre la explotación de la vulnerabilidad en el artículo escrito por su descubridor.

A día de hoy, no hay una prueba de concepto que explote el fallo, y según puede leerse en la descripción de la vulnerabilidad en la web de EXIM, es difícil que pueda explotarse.


Más información:
 
Exim Off-by-one RCE: Exploiting CVE-2018-6789 with Fully Mitigations Bypassing:
https://devco.re/blog/2018/03/06/exim-off-by-one-RCE-exploiting-CVE-2018-6789-en/

CVE-2018-6789:

Desaparece la web cert.org, centro de respuesta ante incidentes informáticos

Esta organización sin ánimo de lucro, que aún mantendrá su listado de vulnerabilidades, comenzó en 1988 como un centro de ayuda para aquellas instituciones y usuarios afectados por incidencias de seguridad

De la noche a la mañana. Así es como ha desaparecido la web de esta organización creada bajo el amparo de DARPA hace casi 30 años tras la aparición del gusano Morris, uno de los más antiguos de Internet y que ocasionó en su momento pérdidas por 96 millones de dólares.

No han habido anuncios al respecto, y lo poco que se sabe al respecto es un tweet creado por Will Dormann, uno de los responsables del servicio. Lo que sí se seguirá actualizando es el listado de vulnerabilidades, el cual es utilizado por organizaciones de todo el mundo. También parece seguir de momento en activo el formulario web para reportar nuevas vulnerabilidades. Aunque no ha habido ninguna nota de prensa, según Dormann el sitio principal habría sido dado de baja por considerarse “innecesario”.

La web, que ahora redirige al “Software Engineering Institute” de la Universidad Carnegie Mellon, aún es posible visitarla gracias a Archive.org. En esta web podía encontrarse documentación de referencia como un listado actualizado de los CSIRTs nacionales, el cual ahora sólo puede verse usando Internet Archive.

Lo que más sorprende de la desaparición de esta mítica web, creada en respuesta al malware creado por Robert Tappan Morris cuando Internet todavía se llamaba ARPANET, es cómo se ha realizado sin ninguna clase de anuncio, tras ya formar parte de la historia de la seguridad informática.

Más información: