Ejecución no autorizada de código en remoto en Erlang/OTP SSH Server en múltiples productos de CISCO
Los siguientes productos se ven afectados por la vulnerabilidad:
- Aplicación de red, servicio y Aceleración:
- ConfD, ConfD Basic (1)
- Gestión y suministro de redes:
- Network Services Orchestrator (NSO) (1)
- Smart PHY
- Routing y Switiching – Empresa y Proveedor de servicios:
- Intelligent Node Manager
- Ultra Cloud Core – Subscriber Microservices Infrastructure
Nota: Los productos señalados con (1) son vulnerables porque aceptan mensajes no autenticados de solicitud de canal, pero debido a cómo están configurados, no son vulnerables a ejecución remota de código (RCE).
CISCO aporta dos listados adicionales, uno de los productos que no se ven afectados por la vulnerabilidad y otro de productos en los que todavía están investigando su posible afectación. Ambos listados pueden consultarse en el enlace de las referencias.
CISCO ha publicado un aviso sobre una vulnerabilidad de severidad crítica, donde informan que varios de sus productos emplean Erlang/OTP y, por tanto, son vulnerables al fallo de Erlang/OTP del 16 de abril de 2025 que permite la ejecución no autorizada de código en remoto.
Los siguientes productos dispondrán de actualización en mayo 2025:
- Aplicación de red, servicio y Aceleración:
- ConfD, ConfD Basic
- Gestión y suministro de redes:
- Network Services Orchestrator (NSO)
Para el resto de productos aún no hay definida una fecha posible de solución del problema.
El 16 de abril de 2025 se publicó una vulnerabilidad crítica en el servidor Erlang/OTP SSH, a la que se asignó el identificador CVE-2025-32433. Esta vulnerabilidad permite a un atacante remoto no autenticado ejecutar código en remoto (RCE) en el dispositivo afectado. La vulnerabilidad se produce por un fallo en la gestión de los mensajes SSH en la fase de autenticación.
CISCO utiliza el servidor Erlang/OTP SSH en varios de sus productos, lo que hace que sean vulnerables a este fallo.
Fuente: link
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.
TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.
Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.