La última actualización de Cisco Policy Suite obligará a cambiar la clave SSH por defecto para el usuario root, debido a que la clave estática utilizada en las instalaciones existentes era insegura. Cisco ha lanzado la nueva versión 21.2.0 de su conjunto de herramientas Cisco Policy Suite, la cual da solución a la vulnerabilidad con identificador CVE-2021-40119, catalogada como crítica. Dicha vulnerabilidad, con una puntuación de 9.8 según CVSS, permitía a un atacante acceder vía SSH a la suite como root.

 

Tras esta nueva versión, se crearán nuevas claves SSH de forma automática en las nuevas instalaciones de Cisco Policy Suite, aunque se requerirá generarlas de forma manual en las instalaciones ya existentes. Para ello, los usuarios que actualicen desde una versión anterior deberán seguir los siguientes pasos:

 

Primero, debe ejecutarse el siguiente comando en el instalador de la máquina virtual (Cluster Manager) para la generación de las claves:

 

/var/qps/install/current/scripts/bin/support/manage_sshkey.sh –create

 

Después, debe ejecutarse el siguiente para actualizar las claves tanto en las máquinas virtuales de CSP como en el instalador: ‘

/var/qps/install/current/scripts/bin/support/manage_sshkey.sh –update

Además de esta vulnerabilidad, Cisco ha lanzado actualizaciones para los switches Catalyst PON (‘PON’, del inglés Passive Optical Network) debido a otra vulnerabilidad crítica con puntuación 10.0. Dicha vulnerabilidad con identificadores CVE-2021-34795, CVE-2021-40112 y CVE-2021-40113 permitía el acceso sin necesidad de estar autenticado, ejecutar código en el equipo y modificar la configuración.

No existe ninguna solución alternativa para ambas vulnerabilidades, por lo que se recomienda actualizar lo antes posible y seguir los pasos indicados. En la web de Cisco puede encontrarse el procedimiento a seguir, incluyéndose una guía para los usuarios de CSP que deban actualizar desde versiones anteriores.

Productos afectados

• Cisco Catalyst Passive Optical Network (PON)
• Switches Optical Network Terminal (ONT) 

CGP-ONT-1P, CGP-ONT-4P, CGP-ONT-4PV, CGP-ONT-4PVC, y CGP-ONT-4TVCW Catalyst PON switches.

Cisco confirma que CVE-2021-34795 no afecta Catalyst PON Switch CGP-OLT-8T ni Catalyst PON Switch CGP-OLT-16T.

 

Más información:

Vulnerabilidad en las claves SSH estáticas de Cisco Policy Suite:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cps-static-key-JmS92hNv

Fuente:

https://unaaldia.hispasec.com/2021/11/clave-ssh-por-defecto-permitia-acceso-root-en-cisco-policy-suite.html