Cisco ha publicado parches para abordar vulnerabilidades graves en Enterprise Network Function Virtualization Infrastructure Software (NFVIS), que permitirían a un atacante realizar inyección de comandos, filtrar información, entre otrosCisco ha publicado parches para abordar vulnerabilidades graves en Enterprise Network Function Virtualization Infrastructure Software (NFVIS), que permitirían a un atacante realizar inyección de comandos, filtrar información, entre otros
Cisco ha publicado parches para abordar vulnerabilidades graves en Enterprise Network Function Virtualization Infrastructure Software (NFVIS), que permitirían a un atacante realizar inyección de comandos, filtrar información, entre otros.
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Crítica” y 2 (dos) de severidad “Alta”. Las mismas se detallan a continuación:
- CVE-2022-20777 de severidad crítica, con puntuación asignada de 9.9. Esta vulnerabilidad se debe a un problema con las restricciones de invitado insuficientes. Un atacante remoto autenticado podría aprovechar esta vulnerabilidad para escapar de la máquina virtual invitada (guest) para obtener acceso no autorizado a nivel de raíz en el host NFVIS.
- CVE-2022-20779 de severidad alta, con puntuación asignada de 8.8. Esta vulnerabilidad se debe a un error de validación incorrecta de entrada
incorrecta. Un atacante remoto no autenticado podría explotar esta vulnerabilidad para realizar inyección de comandos que se ejecutan a nivel raíz en el host NFVIS durante el proceso de registro de imágenes.
- CVE-2022-20780 de severidad alta, con puntuación de 7.4. Esta vulnerabilidad se debe a la función de importación de Cisco Enterprise NFVIS. Un atacante remoto no autenticado podría aprovechar esta vulnerabilidad para acceder a la información del sistema desde el host en cualquier máquina virtual configurada.
El producto afectado de Cisco es:
- Cisco Enterprise NFVIS, en configuración predeterminada.
Recomendamos instalar las actualizaciones correspondientes que serán provistas por Cisco en el siguiente enlace:
Adicionalmente, para los clientes sin contrato directo del servicio con Cisco, pueden obtener las actualizaciones poniéndose en contacto con Cisco TAC:
Referencias:
- https://www.securityweek.com/cisco-patches-critical-vm-escape-nfv-infrastructure-software
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-20777
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-20779
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-20780
- https://www.cisco.com/c/en/us/support/index.html