Múltiples vulnerabilidades en productos de Cisco
Estas vulnerabilidades afectan al software Cisco ASA y al software FTD.
Cisco ha publicado 2 vulnerabilidades de severidad alta y 1 de severidad media, que podrían permitir a un atacante ejecutar código arbitrario en el dispositivo afectado, después de la siguiente recarga del dispositivo, inyectar comando o realizar una denegación del servicio.
Cisco ha publicado actualizaciones de software gratuitas que solucionan la vulnerabilidad descrita en este aviso.
La vulnerabilidad CVE-2024-20359 afecta a la validación incorrecta de un archivo cuando se lee desde la memoria flash del sistema. Un atacante podría aprovechar esta vulnerabilidad copiando un archivo manipulado en el sistema de archivos disk0. Un exploit exitoso podría permitir al atacante ejecutar código arbitrario en el dispositivo afectado después de la siguiente recarga del dispositivo, lo que podría alterar el comportamiento del sistema. Debido a que el código inyectado podría persistir durante los reinicios del dispositivo.
La vulnerabilidad CVE-2024-20353 se debe a una comprobación de errores incompleta al analizar un encabezado HTTP. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP diseñada a un servidor web específico en un dispositivo. Un exploit exitoso podría permitir al atacante provocar una condición DoS cuando el dispositivo se recarga.
Cisco ha confirmado que estas vulnerabilidades de severidad alta han sido explotadas.
Adicionalmente, el fabricante ha publicado otra vulnerabilidad de menor severidad (CVE-2024-20358) que afecta a estos mismos dispositivos.
