A Cisco solicitou aos usuários do sistema de controle de acesso seguro – ACS 5.5 ou inferior – para implementar uma correção urgente, com problemas na implementação do RMI (Remote Method Invocation).
Foram detectados três erros independentes: uma vulnerabilidade de escalada de privilégios (CVE-2014-0649), uma vulnerabilidade de acesso não autenticado (CVE-2014-0648), e por último uma vulnerabildiade de injeção de comando no sistema operacional (CVE 2014-0650). Os dois primeiros, a Cisco afirma serem decorrentes de “autenticação insuficiente e na aplicação da autorização”, enquanto o terceiro é causado por “validação insuficiente de entrada”.
O sistema de chamada de método remoto Java, permite a comunicação entre dispositivos ACS, usando a porta TCP 2020 e 2030. Isso permite aos usuários replicarem informações e confirmarem dados em ambientes multi-servidor. Em uma nota separada, a Cisco recomenda a restrição do acesso a essas portas, para apenas servidores de confiança, e a utilização do Transit Access Control List para ignorar pacotes tentando explorar vulnerabilidades.
A atualização está disponível no link: tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140115-csacs
Fonte: Blog SegInfo
Foram detectados três erros independentes: uma vulnerabilidade de escalada de privilégios (CVE-2014-0649), uma vulnerabilidade de acesso não autenticado (CVE-2014-0648), e por último uma vulnerabildiade de injeção de comando no sistema operacional (CVE 2014-0650). Os dois primeiros, a Cisco afirma serem decorrentes de “autenticação insuficiente e na aplicação da autorização”, enquanto o terceiro é causado por “validação insuficiente de entrada”.
O sistema de chamada de método remoto Java, permite a comunicação entre dispositivos ACS, usando a porta TCP 2020 e 2030. Isso permite aos usuários replicarem informações e confirmarem dados em ambientes multi-servidor. Em uma nota separada, a Cisco recomenda a restrição do acesso a essas portas, para apenas servidores de confiança, e a utilização do Transit Access Control List para ignorar pacotes tentando explorar vulnerabilidades.
A atualização está disponível no link: tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140115-csacs
Fonte: Blog SegInfo
0 comentários:
Postar um comentário