Claves SSH por defecto en dispositivos Cisco

Desde Hispasec nos cuentan:

Cisco ha publicado actualizaciones para sus dispositivos Web Security Virtual Appliance (WSAv), Email Security Virtual Appliance (ESAv) y Security Management Virtual Appliance (SMAv) después de encontrar que incluían claves SSH por defecto.

En esta ocasión son tres los dispositivos afectados:
Cisco Virtual Web Security Appliance (WSAv)
Cisco Virtual Email Security Appliance (ESAv)
Cisco Virtual Security Management Appliance (SMAv)
Que incluyen en dos tipos de claves SSH por defecto.

El primero de los problemas se debe a la inclusión de una llave SSH autorizada por defecto que es compartida en todas las instalaciones de WSAv, ESAv y SMAv. Un atacante podrá explotar la vulnerabilidad obteniendo la llave privada SSH y empleándola para conectar a cualquier a cualquier dispositivo afectado con privilegios de "root".

Por otra parte, también incluyen llaves de host SSH por defecto compartidas, igualmente, en todas las instalaciones de WSAv, ESAv y SMAv. Un atacante podrá obtener una de las llaves privadas SSH y emplearla para descifrar o falsificar la comunicación entre los dispositivos afectados.

Cisco ha publicado actualizaciones para los tres productos afectados. El parche borrará todas las llaves SSH preinstaladas en el dispositivo, tras lo cual se indicarán los pasos precisos para completar el proceso.  La actualización está disponible mediante el proceso de actualización habitual. Aparecerá como "cisco-sa-20150625-ironport SSH Keys Vulnerability Fix" y se debe instalar de forma manual empleando CLI.

Una vez más vuelve a pasar, un dispositivo o software incluye algún tipo de clave o contraseña por defecto "oculta" y que puede permitir a un atacante remoto que la conozca tomar el control del sistema afectado. No es la primera vez que le pasa a Cisco, pero tampoco es el único fabricante al que le ha pasado. Anteriormente, productos como Cisco TelePresence Recording Server, Cisco NetFlow Collection Engine o Cisco Wireless Location Appliances también incluyeron cuentas administrativas con contraseñas por defecto.

Más información:

Multiple Default SSH Keys Vulnerabilities in Cisco Virtual WSA, ESA, and SMA
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150625-ironport

una-al-dia (31/07/2011) Contraseña por defecto en Cisco TelePresence Recording Server
http://unaaldia.hispasec.com/2011/07/contrasena-por-defecto-en-cisco.html

una-al-dia (13/10/2006) Contraseña por defecto en Cisco Wireless Location Appliances
http://unaaldia.hispasec.com/2006/10/contrasena-por-defecto-en-cisco.html

una-al-dia (26/04/2007) Credenciales por defecto en Cisco NetFlow Collection Engine
http://unaaldia.hispasec.com/2007/04/grupo-de-parches-de-abril-para-diversos.html


Fuente original:
http://unaaldia.hispasec.com/2015/06/claves-ssh-por-defecto-en-dispositivos.html
Antonio Ropero
antonior@hispasec.com
Twitter: @aropero