Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2019/01/10

Garrantzia: Kritikoa

Kaltetutako baliabideak:

• ESA Major Release-rako Cisco AsyncOS Software
  • 9.0 baino lehenagoko bertsioak
  • 9.x eta 10.x bertsioak
  • 11.0.x eta lehenagoko bertsioak
  • 11.1.x eta lehenagoko bertsioak

Azalpena:

Cisco-k bere Email Security Appliance (ESA) produktuari eragiten dioten bi ahultasunen berri eman du, bat larritasun kritikokoa eta bestea altukoa. Ahultasun horietako batzuk arrakastaz baliatuz gero, zerbitzuaren ukapena (DoS) eragin liteke:

Konponbidea:

Ciscok migratzea edo eguneratzea aholkatzen du, bere produktuaren bertsioaren arabera:

• 9.0 baino lehenagoko bertsioen kasuan, 11.0.2-044ra migratzea
• 9.x eta 10.x bertsioen kasuan, 11.0.2-044ra migratzea
• 11.0.x bertsioen kasuan, 11.0.2-044 bertsiora eguneratzea
• 11.1.x bertsioen kasuan, 11.1.2-023 edo 11.1.1-037 bertsiora eguneratzea

Xehetasuna:

• Bi ahultasun horietakoren bat arrakastaz baliatuz gero, autentifikaziorik gabeko urruneko erasotzaile batek zerbitzuaren ukapen egoera (DoS) eragin lezake ondokoek eraginda:
  • Posta elektronikoko luzapenen deszifratze eta egiaztatze funtzioak duen sarrera baliozkotze okerra. Horrela kaltetutako gailuaren sistemaren memoriaren hondatzea eragin liteke. Ahultasun horretarako CVE-2018-15453 identifikatzailea erreserbatu da.
  • Zerrenda zurietako URLak dituzten posta elektronikoko mezuen iragazte desegokia. Hori baliatuz erasotzaileak CPUaren erabilpena %100era igo lezake. Ahultasun horretarako CVE-2018-15460 identifikatzailea erreserbatu da.