Cisco Security aggiorna i bug di Squash Router

Cisco ha rilasciato otto aggiornamenti di sicurezza per Il software del sistema operativo Internetwork (IOS) utilizzato per alimentare i suoi router.

I patch sono stati rilasciati mercoledì, il giorno in cui Cisco aveva programmato in precedenza i suoi aggiornamenti IOS bisettimanali. Nessuno degli errori era stato divulgato pubblicamente prima degli aggiornamenti di mercoledì, ma alcuni di essi sono stati segnalati a Cisco da fonti esterne.

La maggior parte dei bug potrebbe essere sfruttata dagli hacker per bloccarsi o in qualche modo interrompere il servizio a un router, in genere se è stato attivato un servizio specifico e vulnerabile, ha affermato Cisco.

[Ulteriori informazioni: Migliori NAS per streaming multimediale e backup]

Ad esempio, Cisco ha corretto due errori nel suo software SSLVPN (Secure Sockets Layer Virtual Private Network) che potrebbe essere utilizzato per bloccare il dispositivo. Gli aggressori potrebbero sfruttare uno di questi errori inviando un pacchetto HTTPS appositamente predisposto al router. Il bug non influisce sugli utenti dell'appliance ASA 5500 dell'azienda o del software Cisco IOS XR o XE, tuttavia.

SSLVPN consente agli utenti esterni al firewall aziendale di accedere alla rete della propria azienda tramite un browser Web, anziché installare un software VPN speciale su il loro PC.

Un altro bug grave riguarda coloro che hanno abilitato il protocollo Secure Copy Protocol (SCP), utilizzato per consentire i trasferimenti di file attraverso la rete. A causa di questo bug, un utente autenticato sul dispositivo potrebbe "trasferire file da e verso un dispositivo Cisco IOS configurato come server SCP, indipendentemente da ciò che gli utenti sono autorizzati a fare", ha affermato Cisco nel suo advisory. Ciò potrebbe consentire a un utente di fare confusione con i file di configurazione del router o di dare un'occhiata alle password, ha detto Cisco. Questo bug è stato segnalato a Cisco da Kevin Graham, ha detto la società.

Ulteriori dettagli sugli aggiornamenti sono disponibili qui.

Il prossimo set di patch IOS di Cisco è previsto per il 23 settembre.