A Cisco anunciou na quarta-feira patches para seis vulnerabilidades em seus produtos, incluindo três bugs de alta gravidade no software NX-OS e FXOS que podem ser explorados para causar uma condição de negação de serviço (DoS).
Afetando o software FXOS dos dispositivos de segurança Firepower 4100 e Firepower 9300 e das interconexões de malha da série UCS 6300, a mais grave dessas falhas é a CVE-2023-20200, descrita como o tratamento inadequado de solicitações SNMP específicas.
O problema permite que um invasor remoto autenticado envie solicitações SNMP elaboradas para um dispositivo afetado e faça com que ele seja recarregado, resultando em uma condição DoS.
“Esta vulnerabilidade afeta todas as versões SNMP suportadas. Para explorar esta vulnerabilidade através do SNMPv2c ou anterior, um invasor deve conhecer a cadeia de caracteres da comunidade SNMP configurada em um dispositivo afetado. Para explorar esta vulnerabilidade através do SNMPv3, o invasor deve ter credenciais válidas para um usuário SNMP configurado no dispositivo afetado”, explica Cisco.
A segunda falha de alta gravidade, CVE-2023-20169, afeta o software NX-OS para switches das séries Nexus 3000 e Nexus 9000 no modo NX-OS autônomo e é descrita como uma validação de entrada insuficiente no Sistema Intermediário para Intermediário Protocolo do sistema (IS-IS).
O bug permite que um invasor adjacente de Camada 2 não autenticado envie pacotes IS-IS criados para um dispositivo afetado, fazendo com que o processo IS-IS seja reiniciado, o que pode fazer com que o dispositivo seja recarregado, levando a uma condição DoS.
A Cisco também corrigiu uma vulnerabilidade de alta gravidade na autenticação remota TACACS+ e RADIUS para software NX-OS. Rastreado como CVE-2023-20168, o bug é descrito como um problema de validação de entrada incorreta que permite que um invasor local não autenticado insira uma string criada no login e cause uma condição DoS.
A falha afeta vários switches da série Nexus, os switches da série MDS 9000 e a borda virtual Nexus 1000 para VMware vSphere e só pode ser explorada por Telnet ou pela conexão de gerenciamento de console.
As três vulnerabilidades foram resolvidas como parte do programa da Cisco Pacote semestral de consultoria de segurança de agosto de 2023que também inclui patches para dois bugs de gravidade média que levam à substituição de arquivos.
Na quarta-feira, a Cisco também anunciou patches para um problema de gravidade média no Application Policy Infrastructure Controller (APIC), que “poderia permitir que um invasor remoto autenticado leia, modifique ou exclua políticas não inquilinas criadas por usuários associados a um diferente domínio de segurança em um sistema afetado”.
A gigante da tecnologia afirma não ter conhecimento de nenhuma dessas vulnerabilidades sendo exploradas em ataques maliciosos. Informações adicionais podem ser encontradas em.