Cisco ha corregido una vulnerabilidad de denegación de servicio (DoS) en sus softwares Cisco ASA y Firepower Threat Defense (FTD), identificada tras una serie de ataques de fuerza bruta contra dispositivos VPN de Cisco en abril. Este fallo, registrado como CVE-2024-20481, afecta a todas las versiones de Cisco ASA y Cisco FTD previas a la última actualización disponible.
Vulnerabilidad Explotable a Través del Servicio RAVPN
El CVE-2024-20481 radica en el servicio Remote Access VPN (RAVPN) de Cisco ASA y FTD, permitiendo que un atacante no autenticado y remoto provoque una denegación de servicio. Este problema surge por la excesiva carga de recursos durante múltiples intentos de autenticación, lo que causa la interrupción del servicio y puede requerir reiniciar el dispositivo para restablecer su funcionalidad.
Importante: Cisco ha informado que, aunque este fallo fue descubierto durante ataques de fuerza bruta masivos, no se ha explotado intencionadamente para atacar dispositivos Cisco ASA.
Ataques Masivos de Fuerza Bruta: Un Riesgo para la VPN Corporativa
Los ataques de fuerza bruta en abril, que buscaban extraer credenciales válidas de VPN corporativas, impactaron no solo a Cisco, sino también a otras marcas de redes, incluyendo Checkpoint, Fortinet y SonicWall. Estas credenciales robadas pueden ser vendidas en el mercado negro o utilizadas en ataques de ransomware.
Otras Vulnerabilidades Críticas en Cisco y sus Actualizaciones de Seguridad
Cisco también ha emitido actualizaciones para 42 vulnerabilidades en varios de sus productos, de las cuales tres son de severidad crítica, con puntajes CVSS v3.1 que alcanzan hasta 9.9. A continuación, un resumen de las vulnerabilidades críticas:
- CVE-2024-20424: Vulnerabilidad de inyección de comandos en la interfaz de administración web de Cisco FMC, permitiendo la ejecución de comandos con privilegios de root. (Puntaje CVSS: 9.9)
- CVE-2024-20329: Inyección de comandos remotos en Cisco ASA a través de comandos CLI en SSH, explotable por atacantes remotos autenticados para ejecutar comandos con acceso a nivel de root. (Puntaje CVSS: 9.9)
- CVE-2024-20412: Credenciales estáticas en dispositivos de la Serie Firepower, que permiten acceso local no restringido a datos sensibles y modificación de configuración. (Puntaje CVSS: 9.3)
Recomendaciones de Cisco para Detectar y Mitigar Amenazas Activas
Cisco recomienda a los administradores de sistemas revisar las configuraciones y monitorear eventos inusuales en los registros para identificar intentos de explotación, especialmente en entornos donde las vulnerabilidades CVE-2024-20424 y CVE-2024-20329 están presentes. También ha proporcionado comandos específicos para detectar credenciales estáticas, como en el caso del CVE-2024-20412.
Conclusión
Es fundamental que los administradores de sistemas mantengan sus entornos actualizados con los últimos parches y revisen las configuraciones de seguridad para evitar que vulnerabilidades críticas se conviertan en vectores de ataque.
