Ciberseguridad

Cisco ha lanzado parches para solucionar tres fallos de seguridad que afectan a sus productos, entre los que se encuentra una debilidad de alta gravedad revelada en NVIDIA Data Plane Development Kit (MLNX_DPDK) a finales del mes pasado.

La vulnerabilidad, denominada CVE-2022-28199 (puntuación CVSS: 8,6), tiene su origen en la falta de gestión adecuada de errores en la pila de red de DPDK, lo que permite a un adversario remoto provocar una condición de denegación de servicio (DoS) y causar un impacto en la integridad y confidencialidad de los datos.

DPDK es un conjunto de bibliotecas y controladores de tarjetas de interfaz de red (NIC) optimizados para el procesamiento rápido de paquetes, que ofrece un marco y una API común para las aplicaciones de red de alta velocidad.

Cisco dijo que investigó su línea de productos y determinó que los siguientes servicios estaban afectados por el error, lo que llevó al fabricante de equipos de red a lanzar actualizaciones de software.

Además de la CVE-2022-28199, Cisco también ha resuelto una vulnerabilidad en su software Cisco SD-WAN vManage que podría “permitir a un atacante adyacente no autenticado que tenga acceso a la red lógica VPN0 acceder también a los puertos del servicio de mensajería en un sistema afectado”.

La empresa achacó la deficiencia -a la que se asignó el identificador CVE-2022-20696 (puntuación CVSS: 7,5)- a la ausencia de “mecanismos de protección suficientes” en los puertos contenedores del servidor de mensajería. La empresa ha dado crédito a Orange Business por haber informado de la vulnerabilidad.

La explotación exitosa de la falla podría permitir al atacante ver e inyectar mensajes en el servicio de mensajería, lo que puede causar cambios en la configuración o hacer que el sistema se recargue, dijo Cisco.

Un tercer fallo corregido por Cisco es una vulnerabilidad en la interfaz de mensajería de Cisco Webex App (CVE-2022-20863, puntuación CVSS: 4,3), que podría permitir a un atacante remoto no autentificado modificar enlaces u otros contenidos y realizar ataques de phishing.