Cisco, líder en soluciones de redes y comunicaciones, ha lanzado actualizaciones de software para abordar una vulnerabilidad crítica que afecta a varios de sus productos de Comunicaciones Unificadas y Centros de Contacto. Esta vulnerabilidad podría permitir a un atacante remoto y no autenticado ejecutar código arbitrario en el dispositivo afectado.
La vulnerabilidad radica en el procesamiento inadecuado de datos proporcionados por el usuario que se están leyendo en la memoria. Un atacante podría aprovechar esta vulnerabilidad enviando un mensaje manipulado a un puerto en escucha de un dispositivo afectado. En caso de éxito, el atacante podría ejecutar comandos arbitrarios en el sistema operativo subyacente con los privilegios del usuario de servicios web, e incluso obtener acceso raíz al dispositivo afectado.
Cisco ha respondido a esta amenaza crítica mediante la publicación de actualizaciones de software que corrigen esta vulnerabilidad. Sin embargo, no hay soluciones alternativas que aborden directamente esta vulnerabilidad.
Productos afectados:
- Unified Communications Manager (Unified CM)
- Unified Communications Manager IM & Presence Service (Unified CM IM&P)
- Unified Communications Manager Session Management Edition (Unified CM SME)
- Unified Contact Center Express (UCCX)
- Unity Connection
- Virtualized Voice Browser (VVB)
Cisco ha confirmado que algunos productos no se ven afectados, incluyendo Customer Collaboration Portal, Customer Voice Portal, y otros, según la lista proporcionada en el aviso de seguridad.
Mitigación y Actualización:
Aunque no hay soluciones alternativas directas, se puede aplicar una mitigación estableciendo listas de control de acceso (ACL) en dispositivos intermedios que separen el clúster de Cisco Unified Communications o Cisco Contact Center Solutions de los usuarios y el resto de la red, permitiendo el acceso solo a los puertos de los servicios implementados.
Se insta a los usuarios a seguir las mejores prácticas descritas en las últimas Guías de Seguridad de Cisco Unified Communications Manager. Además, se recomienda a los clientes que evalúen la aplicabilidad y eficacia de estas mitigaciones en su propio entorno antes de implementarlas.
Actualizaciones de Software:
Cisco ha lanzado actualizaciones de software gratuitas que abordan esta vulnerabilidad. Los clientes con contratos de servicio que les otorgan actualizaciones regulares deben obtener correcciones de seguridad a través de sus canales de actualización habituales.
Los clientes sin contratos de servicio que compran directamente de Cisco o a través de terceros deben ponerse en contacto con el Centro de Asistencia Técnica de Cisco (TAC) para obtener las actualizaciones necesarias, proporcionando el número de serie del producto y la URL del aviso de seguridad como evidencia de derecho a una actualización gratuita.
Es esencial que los usuarios evalúen regularmente las alertas de seguridad de Cisco y consideren las actualizaciones de software para garantizar la seguridad continua de sus dispositivos.
