Aviso de seguridad

Nivel de peligrosidad: Alto

Descripción

El error, al que se le asignó el identificador CVE-2022-20968, se ha descrito como un desbordamiento de búfer basado en la pila, causado por una verificación de límites incorrecta. Mediante el envío de paquetes de Cisco Discovery Protocol especialmente diseñados, un atacante remoto podría desbordar un búfer y ejecutar código arbitrario o causar una condición de denegación de servicio en el sistema.

CVE-2022-20968 afecta la función de procesamiento del Protocolo de descubrimiento de Cisco del firmware de los teléfonos IP de las series 7800 y 8800 de Cisco (excepto el teléfono IP inalámbrico de Cisco 8821).

Cisco le dio crédito a Qian Chen del Codesafe Team of Legendsec en QI-ANXIN Group por informar el error.

Recursos afectados

Teléfonos IP de Cisco que ejecutan la versión de firmware 14.2 o anteriores.

Solución

El lanzamiento del parche está programado para enero de 2023.

Recomendaciones

Deshabilitar CDP para  que los dispositivos afectados cambien a LLDP (Link Layer Discovery Protocol) para anunciar su identidad y capacidades a pares conectados directamente en una red de área local (LAN).

Referencias

Vulnerabilidad de desbordamiento de pila en telefotos IP CISCO 7800 y 8800