Especialistas en ciberseguridad reportan el hallazgo de algunas vulnerabilidades en Application Service Engine, una plataforma diseñada para albergar múltiples aplicaciones de operaciones desarrollada por la prestigiosa firma tecnológica Cisco. Acorde al reporte, la explotación exitosa de estas fallas permitiría el compromiso de los sistemas vulnerables mediante el envío de paquetes maliciosos.

A continuación se presentan breves descripciones de las fallas reportadas además de sus respectivas claves de identificación y puntajes asignados según el Common Vulnerability Scoring System (CVSS).

CVE-2021-1393: Esta falla existe debido a los controles de acceso insuficientes para un servicio que se ejecuta en la red de datos. Los actores de amenazas remotos no autenticados pueden enviar paquetes de red especialmente diseñados al sistema afectado y obtener acceso no autorizado, lo que permite ejecutar contenedores o invocar operaciones a nivel de host.

La falla recibió un puntaje de 8.5/10 y su explotación exitosa permitiría el compromiso total del sistema vulnerable.

CVE-2021-1396: Las restricciones de acceso incorrectas para ciertos endpoints de API que se ejecutan en la red de datos, lo que permitiría a los actores de amenazas no autenticados obtener acceso no autorizado al sistema comprometido.

La falla recibió un puntaje de 5.7/10 y su explotación exitosa permitiría a los hackers maliciosos obtener información específica del dispositivo afectado, crear archivos de soporte técnico en un volumen aislado y realizar cambios de configuración limitados.

Ambas fallas residen en las siguientes versiones de Cisco Application Services Engine: 1.1.3, 1.1.3a, 1.1.3b, 1.1.3c y 1.1.3d.

Si bien las fallas pueden ser explotadas por actores de amenazas remotos no autenticados mediante el envío de paquetes maliciosos, los expertos en ciberseguridad no han detectado intentos de explotación activa o bien la existencia de una variante de malware asociada al ataque. Las actualizaciones ya se encuentran disponibles, por lo que se recomienda a los administradores de implementaciones afectadas actualizar a la brevedad.

Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).