Ao que parece o OpenSSL Heartbeat é a vulnerabilidade do momento, afetando produtos que utilizam o OpenSSL da versão 1.0.1 até 1.0.1f. Esta vulnerabilidade permite que o invasor leia até 64KB de memória da vítima sem qualquer informação privilegiada ou credenciais, usando as respostas Heartbeat do OpenSSL.
Até o momento sabe-se que os seguintes produtos Cisco são afetados por esta vulnerabilidade:
- Cisco AnyConnect Secure Mobility Client for iOS [CSCuo17488]
- Cisco Desktop Collaboration Experience DX650
- Cisco Unified 7800 series IP Phones
- Cisco Unified 8961 IP Phone
- Cisco Unified 9951 IP Phone
- Cisco Unified 9971 IP Phone
- Cisco TelePresence Video Communication Server (VCS) [CSCuo16472]
- Cisco IOS XE [CSCuo19730]
- Cisco Unified Communication Manager (UCM) 10.0
- Cisco Universal Small Cell 5000 Series running V3.4.2.x software
- Cisco Universal Small Cell 7000 Series running V3.4.2.x software
- Small Cell factory recovery root filesystem V2.99.4 or later
- Cisco MS200X Ethernet Access Switch
- Cisco Mobility Service Engine (MSE)
- Cisco TelePresence Conductor
- Cisco WebEx Meetings Server versions 2.x
A Cisco disponibilizará o update de software para os produtos afetados gratuitamente, e já foi criada uma assinatura para o IPS. Instruções para mitigação deste problema podem ser encontrados neste post do Cisco Sourcefire Vulnerability Research Team, e produtos Meraki não foram afetados.
Todas as informações sobre esta vulnerabilidade, com produtos afetados, não afetados, sob investigação, informações de como conseguir o update estão no Cisco Security Advisory.
Até a próxima.
No link abaixo tbm pode ser verificado produtos Cisco, vulneráveis e não vulneráveis:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140409-heartbleed
Ultima atualização em 13/04. 🙂
Vlw,
João Victor