Actualización de OpenSSH para evitar múltiples vulnerabilidades de seguridad media

Descripción

Este problema está relacionado con el servicio SSH de las grabadoras de las series 8000, 9000 y RideSafe (GT, MT y RT) (R5), utilizado para el aprovisionamiento de la grabadora. Ya está disponible un parche de seguridad para cubrir múltiples vulnerabilidades de gravedad media, relacionadas con la versión de OpenSSH que estaba en uso hasta las versiones 5.24.0.0067 (GA) y 5.24.0.1001 (SP1) incluidas.

Tenga en cuenta que este parche actualizó tanto OpenSSH como la versión de OpenSSL que se utiliza con él, y que la licencia de OpenSSL de esta versión cambió a la Licencia Apache v2.

Impacto

La lista de vulnerabilidades relevantes es:

• CVE-2020-15778 Puntuación CVSS 6.8. Inyección de comandos a través de scp. En R5, esta vulnerabilidad está mitigada por la necesidad de autenticarse como usuario de la interfaz de aprovisionamiento, y por el hecho de que el entorno de usuario de la interfaz de aprovisionamiento tiene acceso limitado al sistema.
• CVE-2018-15473 Puntuación CVSS 5. Enumeración de cuentas de usuario. En R5, esta vulnerabilidad se mitiga por la presencia de un único usuario de interfaz de aprovisionamiento, con un nombre de usuario conocido. No hay nada que enumerar.
• CVE-2021-28041 CVSS Score 4.6. La doble liberación de memoria de ssh-agent puede conducir a la divulgación de información. En R5, esta vulnerabilidad se ve mitigada por el hecho de que el entorno de usuario de la interfaz de aprovisionamiento tiene acceso limitado al sistema.
• CVE-2021-41617 CVSS Score 4.4. escalada de privilegios en configuración no predeterminada. En R5, esta vulnerabilidad está mitigada por el hecho de que el usuario de la interfaz de aprovisionamiento es único.
• CVE-2020-14145 CVSS Score 4.3. potencial ataque man in the middle. No hay mitigaciones para esta vulnerabilidad, aparte de evitar el uso de la interfaz de aprovisionamiento o usarla sólo dentro de un entorno de confianza.

Solución

Actualice las grabadoras R5 que utilicen 5.24.0.0067 (GA) o 5.24.0.1001 (SP1) con el parche 41107 R1.0. Las futuras versiones de R5 no se verán afectadas por estos problemas. Para versiones anteriores, limite el uso de la interfaz de aprovisionamiento sólo cuando sea necesario y únicamente en un entorno de confianza. Para desactivar completamente la interfaz de aprovisionamiento, si lo desea, póngase en contacto con nuestro servicio de asistencia técnica.

En caso de que los grabadores R5 se gestionen bajo Command Enterprise, recuerde a los clientes que 2.16 es la versión mínima compatible con los grabadores R5 en 5.24.0.0067 (GA) o 5.24.0.1001 (SP1).

Descargas

Visite nuestro Partner Portal para descargar el parche 41107 R1.0.

Revisión

10 de mayo de 2023 - Informe público inicial

Descargo de responsabilidad

La evaluación de March NetworksNetworks de esta vulnerabilidad de seguridad depende de que los productos de March Networks Networks estén actualizados a la versión recomendada y/o nivel de parche de seguridad y que el sistema haya sido desplegado y configurado, de acuerdo con las recomendaciones de seguridad March Networks y las mejores prácticas de la industria. ES RESPONSABILIDAD DEL CLIENTE EVALUAR EL EFECTO DE CUALQUIER VULNERABILIDAD DE SEGURIDAD. No actualizar los productos de March Networks Networks y/o no seguir las recomendaciones de March Networks o las mejores prácticas de la industria puede aumentar el riesgo asociado con una vulnerabilidad de seguridad. March Networks sigue las prácticas líderes de la industria para abordar las vulnerabilidades de seguridad en nuestros productos. Aunque March Networks Networks no puede garantizar que nuestros productos estarán libres de vulnerabilidades de seguridad, nos comprometemos a proporcionar actualizaciones y correcciones de seguridad, para nuestros productos compatibles, siempre y cuando se determine que una vulnerabilidad de alta seguridad afecta a los productos de March Networks Networks.