Cisco Systems ha publicado una actualización de seguridad sobre la vulnerabilidad CVE-2014-2120, que impacta la página de inicio de sesión de WebVPN en el software Cisco Adaptive Security Appliance (ASA)
Sobre la vulnerabilidad
CVE-2014-2120 es una vulnerabilidad de secuencias de comandos entre sitios (XSS) en la página de inicio de sesión de WebVPN del software Cisco Adaptive Security Appliance (ASA). Según la actualización de Cisco [2], la falla se debe a una «validación insuficiente de un parámetro», lo que permite a los atacantes generar enlaces maliciosos que, al ser abiertos por la víctima, ejecutan scripts arbitrarios en su navegador.
Productos y versiones afectadas
Los productos afectados incluyen las implementaciones de Cisco Adaptive Security Appliance (ASA) que utilizan la funcionalidad WebVPN en todas las versiones de software previas a la implementación de la corrección de esta vulnerabilidad por parte de Cisco, las cuales son potencialmente vulnerables.
Recomendaciones
- Aplicar las actualizaciones de software para ASA ofrecidas por Cisco lo más pronto posible para mitigar esta vulnerabilidad.
- Asegurar que las soluciones implementadas sean compatibles con la infraestructura existente, y consultar con los proveedores si es necesario.
- Realizar monitoreos periódicos de los sistemas para identificar posibles actividades sospechosas asociadas con esta vulnerabilidad.
Referencia:
[1] «Tolleson,» [En línea]. Available: https://tolleson.com/work/cisco/brand-evolution/.
[2] «Cisco,» [En línea]. Available: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-CVE-2014-2120.
