Actualizaciones de seguridad Cisco para 2 vulnerabilidades

Cisco lanzó actualizaciones de seguridad para 2 vulnerabilidades graves que afectaron a la VPN inalámbrica de Cisco, al Firewall y a la aplicación Cisco Webex Meetings Desktop.

La primera es una vulnerabilidad de ejecución remota de comandos que se ha marcado como "crítica" y otra es la vulnerabilidad de inyección de comandos local, que se marca con una severidad "alta".

Vulnerabilidad de ejecución remota de comandos CVE-2019-1663 Cisco RV110W, RV130W y RV215W Routers La interfaz de administración VPN y Firewall de Wireless-N permite al atacante remoto ejecutar código arbitrario en un dispositivo vulnerable.

CVE-2019-1674 Otra función de inyección de comando local CVE-2019-1674 que afectó a la aplicación Cisco Webex Meetings Desktop y las herramientas de productividad de Cisco Webex permite a los atacantes los locales comandos arbitrarios como usuario privilegiado.

La falla de la ejecución de la red de comandos afectó a los enrutadores basados ​​en VPN y cortafuegos inalámbricos de Cisco debido a la validación de los datos proporcionados por el usuario en la interfaz de administración basada en web.

Según las notas publicadas de Cisco . Esta vulnerabilidad CVE-2019-1663 contiene todas las versiones de las siguientes versiones de Cisco anteriores a las enumeradas en las versiones fijas: Firewall RV110W VPN Wireless-N, Router VPN Multifunción Wireless-N RV130W, Router VPN Wireless-N RV215W

Los atacantes remotos aprovechan esta vulnerabilidad al enviar solicitudes HTTP maliciosas a un dispositivo específico y obtuvieron el control completo del dispositivo afectado con alto privilegio.

Otra versión de la inyección de comando local de todas las versiones de la aplicación Cisco Webex Reuniones Desktop antes de la versión 33.6.6, ya las versiones de la versión 32.6.0 de Cisco Webex y posteriores a la versión 33.0.7.

Esta vulnerabilidad de Webex debe ser una validación insuficiente de los parámetros proporcionados por el usuario. Un atacante podría explotar esta vulnerabilidad invocando el comando del servicio de actualización con un argumento elaborado.

Fuente: gbhackers