Clave SSH por defecto permitía acceso root en Cisco Policy Suite

La última actualización de Cisco Policy Suite obligará a cambiar la clave SSH por defecto para el usuario root, debido a que la clave estática utilizada en las instalaciones existentes era insegura

Cisco ha lanzado la nueva versión 21.2.0 de su conjunto de herramientas Cisco Policy Suite, la cual da solución a la vulnerabilidad con identificador CVE-2021-40119, catalogada como crítica. Dicha vulnerabilidad, con una puntuación de 9.8 según CVSS, permitía a un atacante acceder vía SSH a la suite como root. El fallo fue descubierto por Cisco durante una auditoría interna, sin que se haya reportado su explotación por atacantes.

Tras esta nueva versión, se crearán nuevas claves SSH de forma automática en las nuevas instalaciones de Cisco Policy Suite, aunque se requerirá generarlas de forma manual en las instalaciones ya existentes. Para ello, los usuarios que actualicen desde una versión anterior deberán seguir los siguientes pasos:

Primero, debe ejecutarse el siguiente comando en el instalador de la máquina virtual (Cluster Manager) para la generación de las claves: ‘/var/qps/install/current/scripts/bin/support/manage_sshkey.sh –create’. Después, debe ejecutarse el siguiente para actualizar las claves tanto en las máquinas virtuales de CSP como en el instalador: ‘/var/qps/install/current/scripts/bin/support/manage_sshkey.sh –update’.

Además de esta vulnerabilidad, Cisco ha lanzado actualizaciones para los switches Catalyst PON (‘PON’, del inglés Passive Optical Network) debido a otra vulnerabilidad crítica con puntuación 10.0. Dicha vulnerabilidad con identificadores CVE-2021-34795, CVE-2021-40112 y CVE-2021-40113 permitía el acceso sin necesidad de estar autenticado, ejecutar código en el equipo y modificar la configuración.

No existe ninguna solución alternativa para ambas vulnerabilidades, por lo que se recomienda actualizar lo antes posible y seguir los pasos indicados. En la web de Cisco puede encontrarse el procedimiento a seguir, incluyéndose una guía para los usuarios de CSP que deban actualizar desde versiones anteriores.

Más información:

Vulnerabilidad en las claves SSH estáticas de Cisco Policy Suite:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cps-static-key-JmS92hNv

La entrada Clave SSH por defecto permitía acceso root en Cisco Policy Suite se publicó primero en Una al Día.