La vulnerabilidad se debe a una configuración predeterminada incorrecta del servidor TURN, que podría exponer interfaces y puertos internos en la interfaz externa de un sistema afectado. Un atacante podría explotar esta vulnerabilidad utilizando un servidor TURN para realizar una conexión no autorizada a un puente de llamada, un puente Web o un clúster de base de datos en un sistema afectado, dependiendo del modelo de despliegue y los servicios de CMS en uso. Una explotación exitosa podría permitir al atacante obtener acceso no autenticado a un puente de llamada o un clúster de base de datos en un sistema afectado o obtener acceso no autorizado a información de reunión sensible en un sistema afectado. Para aprovechar esta vulnerabilidad, el atacante debe tener credenciales válidas para el servidor TURN del sistema afectado.

Cisco ha lanzado actualizaciones de software que abordan esta vulnerabilidad. No hay soluciones provisionales que resuelvan esta vulnerabilidad.

Este aviso está disponible en el siguiente enlace:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170913-cmsturn

Productos Afectados

Productos Vulnerables

Esta vulnerabilidad afecta a las implementaciones de Cisco Meeting Server (CMS) que ejecutan una versión de software de CMS antes del Release 2.0.16, 2.1.11 o 2.2.6 si el despliegue cumple todos los criterios adicionales siguientes:
    El despliegue utiliza el servidor TURN incluido con CMS.
    El servidor TURN utiliza conexiones TLS (Transport Layer Security); en la interfaz del procesador de administración de Mainboard (MMP), el protocolo TLS está configurado para ejecutarse con el servidor TURN.
    El servidor TURN se ejecuta en la misma máquina virtual que otros servicios CMS compartidos.
    El servidor TURN se ejecuta en la misma máquina virtual que un puente de llamada, un puente Web o un nodo de base de datos que forma parte de un clúster de base de datos en el despliegue de CMS.

Los administradores pueden determinar qué versión de CMS Software se está ejecutando en un dispositivo utilizando el comando version de la CLI. El siguiente ejemplo muestra la salida del comando para un dispositivo que ejecuta CMS Software Release 2.0.6:

    sistema> versión

      2_0_6

Para que TLS se configure para ejecutarse con un servidor TURN, los comandos turn tls y turn certs deben estar presentes en la configuración. Para comprobar la configuración MMP TLS del servidor TURN, los administradores pueden emitir el comando turn en la consola MMP.

El siguiente ejemplo muestra la salida del comando de giro para un sistema que no tiene TLS configurado para el servidor TURN:

      cms> turno

      Activado: true
      Nombre de usuario: cisco
      Contraseña: 1234
      Reino: nicedet.com
      IP público: ninguno
      Dirección del relé: 1.2.3.4
      Interfaz de escucha a

El siguiente ejemplo muestra la salida del comando de giro para un sistema que tiene TLS configurado para el servidor TURN:

      cms> turno

      Activado: true
     Nombre de usuario: cisco
     Contraseña: 1234
     Reino: nicedet.com
     IP público: ninguno
     Dirección del relé: 1.2.3.4
     Puerto TLS: 3479
     TLS cert: turn.crt
     Llave TLS: turn.key
     Paquete TLS: ninguno
     Interfaz de escucha a

Productos Confirmados No Vulnerables

Actualmente, no se conoce que ningún otro producto de Cisco se vea afectado por esta vulnerabilidad.

Cisco ha confirmado que esta vulnerabilidad no afecta a las implementaciones de CMS que cumplan cualquiera de las siguientes condiciones:
    El despliegue no utiliza un servidor TURN.
    El despliegue utiliza un servidor TURN de terceros.
    El servidor TURN se ejecuta en un CMS dedicado sin otros servicios colocados.
    La configuración TLS está deshabilitada para el servidor TURN.

Detalles

Cisco Meeting Server (CMS) incorpora capacidades de video, audio y contenido compartido en el software que se puede acceder a través de una sala de conferencias, un escritorio o un dispositivo móvil. CMS funciona en salas de video de Cisco y se conecta con Skype for Business y otros proveedores de hardware para permitir una arquitectura de reuniones sin problemas. Esta capacidad existe a través de la colaboración entre Cisco y Acano, que se unió a Cisco a principios de 2016.

El servidor TURN incluido en CMS contiene una vulnerabilidad que podría permitir a un atacante remoto autenticado obtener acceso no autorizado a componentes o información sensible en un sistema afectado, dependiendo del modelo de implementación y los servicios de CMS en uso. La vulnerabilidad se debe a una configuración predeterminada incorrecta del servidor TURN, que podría exponer interfaces y puertos internos en la interfaz externa de un sistema afectado.

Si el servidor TURN se ejecuta en la misma máquina virtual ( colocada ) como un puente de llamada CMS, el atacante podría obtener acceso no autenticado a la interfaz Web Admin de CMS Software.

Si el servidor TURN está colocado en un CMS Web Bridge, el atacante podría recibir mensajes de búsqueda para conferencias de reuniones, que pueden contener identificadores de llamadas y códigos de acceso para reuniones.

Si el servidor TURN está situado junto con un nodo de base de datos que forma parte de un clúster de bases de datos de CMS, un atacante podría obtener acceso no autenticado a la base de datos del clúster.

Para aprovechar esta vulnerabilidad, el atacante debe tener credenciales válidas y autenticarse en el servidor TURN del sistema afectado.

Para obtener información adicional acerca de la configuración de los servidores CMS TURN, consulte la sección "Servidor TURN" de la Guía de implementación del Servidor de escalabilidad y resiliencia de Cisco Meeting Server .

Soluciones alternativas

No hay soluciones provisionales que resuelvan esta vulnerabilidad.

Software fijo

Cisco ha lanzado actualizaciones gratuitas de software que abordan la vulnerabilidad descrita en este aviso. Los clientes sólo pueden instalar y esperar soporte para versiones de software y conjuntos de características para los que han adquirido una licencia. Al instalar, descargar, acceder o utilizar de alguna manera dichas actualizaciones de software, los clientes aceptan seguir los términos de la licencia de software de Cisco: https://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_. html

Además, los clientes sólo pueden descargar el software para el que disponen de una licencia válida, obtenida directamente de Cisco, oa través de un distribuidor o socio autorizado de Cisco. En la mayoría de los casos esto será una actualización de mantenimiento al software que se compró previamente. Las actualizaciones de software de seguridad gratuitas no dan derecho a los clientes a una nueva licencia de software, conjuntos de funciones adicionales de software o actualizaciones de revisión importantes.

Al considerar actualizaciones de software, se aconseja a los clientes consultar periódicamente los avisos de los productos de Cisco, disponibles en la página Avisos y alertas de seguridad de Cisco , para determinar la exposición y una solución de actualización completa.

En todos los casos, los clientes deben asegurarse de que los dispositivos que se van a actualizar contengan suficiente memoria y confirmen que las configuraciones actuales de hardware y software seguirán siendo soportadas correctamente por la nueva versión. Si la información no está clara, se recomienda a los clientes que se comuniquen con el Centro de asistencia técnica de Cisco (TAC) o con sus proveedores de mantenimiento contratados.

Clientes sin contratos de servicio

Los clientes que compran directamente a Cisco pero no tienen un contrato de servicio de Cisco y los clientes que realizan compras a través de terceros vendedores pero no logran obtener software fijo a través de su punto de venta deben obtener actualizaciones contactando el TAC de Cisco: https: // www .cisco.com / es / US / support / tsd_cisco_worldwide_contacts.html

Los clientes deben tener el número de serie del producto disponible y estar preparados para proporcionar la URL de este aviso como evidencia del derecho a una actualización gratuita.

Lanzamientos fijos

Esta vulnerabilidad se corrige en CMS Software Releases 2.0.16, 2.1.11, 2.2.6 y posteriores. Los clientes deben actualizar a la versión más reciente del software visitando el Centro de software de Cisco.com y navegando por Productos> Conferencia> Videoconferencia> Conferencias multipartitas> Servidor de reuniones .

Para obtener información sobre el modelo de versión de software de CMS, consulte Cisco Meeting Server: Fin de la política de mantenimiento y soporte .

Explotación y Anuncios Públicos

El Equipo de Respuesta a Incidentes de Seguridad de Producto de Cisco (PSIRT) no tiene conocimiento de ningún anuncio público o uso malintencionado de la vulnerabilidad descrita en este aviso.

Traducido de tools.cisco.com