A principios de esta semana conocimos una actualización crítica de la librería OpenSSL que es ampliamente utilizada y de la que tenemos una larga lista de vulnerabilidades críticas en los último tiempos. Días después de lanzar el parche explicaron en qué consistía el problema de seguridad, ahora hemos conocido que el fabricante Cisco se ha visto gravemente afectado por esta vulnerabilidad ya que una gran cantidad de productos eran vulnerables.
Múltiples productos Cisco incorporaban la versión de OpenSSL afectada por la vulnerabilidad de verificación de certificados SSL/TLS, DTLS en los clientes, y también en los servidores que utilizaban autenticación con otro extremo a través de certificados digitales. Este fallo de seguridad podría permitir que un usuario malintencionado y desautenticado realice un bypass y falsificar certificados de confianza para posteriormente interponerse en la comunicación con un ataque man-in-the-middle. Podéis visitar nuestro tutorial sobre aprender Cisco con cursos gratis.
Listado de productos Cisco afectados (bajo investigación)
La lista de productos que podrían estar afectados por este fallo de seguridad es tan larga que en el aviso de seguridad oficial han detallado que irán actualizando dicho aviso a medida que sus ingenieros investigan si hay más productos afectados por el fallo de seguridad.
Algunos de los productos más populares que están investigando son los Cisco WebEx Meetings Server versión 1.x y 2.x, Cisco AnyConnect Secure Mobility Client para diferentes sistemas operativos, Cisco Jabber, Cisco ASA, Cisco IPS, e incluso el sistema operativo para routers y switches Cisco IOS Software y Cisco IOS XE Software. Respecto a los productos de voz como Cisco Unified Communications y Cisco SPA también están bajo investigación.
Listado de productos Cisco no afectados ya disponible
Lo que sí tenemos ya disponible es un listado definitivo de productos que no están afectados, en el aviso de seguridad de Cisco podéis encontrar en detalle cuáles son. De momento sólo han actualizado una vez el listado de productos afectados con fecha de 10 de Julio, cuando salió la vulnerabilidad de OpenSSL.
Es crítico que los administradores de redes y sistemas que utilicen productos Cisco estén muy pendientes de las actualizaciones de seguridad para solucionar este fallo que ha causado la librería OpenSSL. El aviso de seguridad de Cisco se irá actualizando para ofrecer la última información disponible.