Cisco confirmó un nuevo agujero de seguridad 0-day con el identificador CVE-2016-6415 relacionado con el robo de información del grupo informático de Shadow Broker. Cisco proporciona una herramienta para comprobar los productos con Cisco con IOS para saber si están o no afectados. Por otra parte la gente de la fundación Shadow Server se ha puesto a escanear internet en busca del número real de dispositivos afectados.



El CVE-2016-6415 reside en el código de procesamiento de paquetes IKEv1. Un atacante remoto no autenticado lo podría aprovechar que recuperar contenido de la memoria

El fallo afecta a Cisco IOS XR versiones 4.3.x, 5.0.x, 5.1.x y 5.2.x - versiones 5.3.0 y posteriores no se ven afectados. Todas las versiones de IOS XE y varias versiones de IOS se ven afectados.
Este verano un grupo de piratas informáticos conocidos como Shadow Broker hackeó del arsenal del grupo vinculado a la NSA y filtró más o menos 300 Mb de explotación, implantes y herramientas de hacking.

La existencia del Grupo ecuación se reveló en febrero de 2015 los investigadores de seguridad de Kaspersky. Los presuntos agentes del Estado-nación ha estado operando desde 2001 y dirigido prácticamente todas las industrias con sofisticados ataques de día cero.

De acuerdo con un informe de Kaspersky Lab, el Grupo ecuación combina sofisticadas y complejas tácticas, técnicas y procedimientos. Los expertos de Kaspersky especularon que el Grupo Ecuación había interactuado con los operadores detrás de Stuxnet y Flame. Sobre la base de los elementos recogidos en las diferentes campañas de espionaje cibernético a través de los años, los expertos plantearon la hipótesis de que la Agencia Nacional de Seguridad (NSA) podría estar relacionado con el Grupo de la ecuación.

Después que Shadow Brokers filtró el archivo en línea, los principales proveedores como Cisco, Juniper, Fortinet analizaron sus sistemas con el fin de encontrar las vulnerabilidades explotadas por la explotación del Grupo Ecuacióny arreglarlos.

CISCO, por ejemplo, descubierto en el arsenal de un EXTRABACON apodado herramienta que fue capaz hackear un Cisco ASA.

La herramienta EXTRABACON aprovecha la vulnerabilidad CVE-2016-6366 para permitir a un atacante que ya se ha ganado un punto de apoyo en una red dirigida a tomar el control total de un servidor de seguridad Cisco ASA.

La herramienta EXTRABACON aprovecha de un fallo que reside en el Simple Network Management Protocol (SNMP) ejecutado por el software ASA.

"Una vulnerabilidad en el código Simple Network Management Protocol (SNMP) del software Cisco Adaptive Security Appliance (ASA) podría permitir a un usuario autenticado, atacante remoto causar una recarga del sistema afectado o ejecutar código de forma remota.", Afirma el asesor publicado por CISCO .

• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160817-asa-snmp

A finales de agosto de CISCO comenzado la liberación de parches para su software ASA para abordar EXTRABACON del Grupo Ecuación.

CVE-2016-6415

"Una vulnerabilidad en el código de procesamiento de paquetes IKEv1 en Cisco IOS, Cisco IOS XE y Software Cisco IOS XR podría permitir a un usuario no autenticado, es decir, atacante remoto para recuperar contenido de la memoria, lo que podría conllevar la divulgación de información confidencial.

La vulnerabilidad se debe a la insuficiencia de condición comprueba en la parte del código que se encarga de la negociación de seguridad de las peticiones IKEv1. Un atacante podría aprovechar esta vulnerabilidad mediante el envío de un paquete IKEv1 diseñado a un dispositivo afectado configurado para IKEv1 aceptar solicitudes de negociación de seguridad. Una explotación exitosa podría permitir al atacante para recuperar contenido de la memoria, los cuales podría conducir a la divulgación de información confidencial ".

Productos Cisco IOS RX afectados

• Cisco IOS XR 4.3.x
• Cisco IOS XR 5.0.x
• Cisco IOS XR 5.1.x
• Cisco IOS XR 5.2.x

La declaración de Cisco puede ser visto en su totalidad aquí:

• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160916-ikev1

Los resultados del escaneo masivo de ShadowServer son:

• https://isakmpscan.shadowserver.org/

[Mapas productos afectados por región - Europa - USA ]

Top 20 ASNs With Vulnerable ISAKMP

ASN	AS Name	Country	Total
AS7922	COMCAST-7922	US	36,191
AS7018	ATT-INTERNET4	US	23,998
AS8151	Uninet	MX	21,207
AS3215	AS3215	FR	16,695
AS209	CENTURYLINK-US-LEGAC	US	14,713
AS3320	DTAG	DE	14,382
AS4713	OCN	JP	11,628
AS5089	NTL	GB	9,504
AS4134	CHINANET	CN	9,430
AS7029	WINDSTREAM	US	8,939
AS22773	ASN-CXA-ALL-CCI-2277	US	8,905
AS701	UUNET	US	8,900
AS3269	ASN	IT	8,582
AS1221	ASN	AU	8,333
AS20115	CHARTER-NET-HKY-NC	US	8,176
AS2856	BT-UK	GB	7,385
AS9121	TTNET	TR	7,272
AS10796	SCRR-10796	US	6,851
AS2514	INFOSPHERE	JP	6,840
AS6167	CELLCO-PART	US	6,795

CVE-2016-6374 afecta a los Cisco Cloud Services Platform (CSP)

Existe además otra nueva vulnerabilidad grave con los productos Cisco Cloud Services Platform (CSP), ya que existe un riesgo "alto" de ejecución remota de código.

El Cisco Cloud Services Plataforma (CSP) es un producto diseñado para gestionar los servicios de red virtualizados y componentes, que se ejecuta como una máquina virtual Linux x86 integrado en un dispositivo de red de Cisco.

Productos Afectados

• Cisco Cloud Services Platform 2100 version 2.0 está afectado

El Cloud Services Plataforma Cisco 2100 permite desplegar rápidamente cualquier servicio virtual de Cisco o de red de terceros a través de una interfaz sencilla, una función de Web nativa de usuario (WebUI), la interfaz de línea de comandos (CLI), o la transferencia de estado representacional (REST) API. "Una vulnerabilidad en la interfaz web de Cisco Cloud Services Plataforma (CSP) 2100 podría permitir a un atacante remoto no autenticado ejecutar código arbitrario en un sistema de destino."

 Leer el aviso de seguridad publicado por CISCO.

• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160921-csp2100-2

Según Cisco, la explotación de la falla CVE-2016-6374 es simple, los atacantes sólo necesitan enviar peticiones HTTP con formato incorrecto para lograr la ejecución remota de código. Un intruso no tiene que usar una petición DNS-lookup malicioso a través de la interfaz web de CSP con el fin de ejecutar comandos en el servidor.