Actualización de cliente VPN de Cisco

From: Oxygen3 24h-365d <oxygen@pandasoftware.com>
Date: May 26, 2006 7:26 AM
Subject: Oxygen3 24h-365d [Actualización de cliente VPN de Cisco - 26/05/06]
To: OXYGEN3ES@oxygen3.pandasoftware.com

"Es la segunda vez que me alcanzas con un disparo. No vuelvas a hacerlo"
Sheriff John T. Chance en "Rio Bravo", según guión de
Jules Furthman (1888-1966), guionista estadounidense.
(El 26 de mayo de 1907 nació John Wayne)

- Actualización de cliente VPN de Cisco -
Oxygen3 24h-365d, por Panda Software (http://www.pandasoftware.es)
Madrid, 26 de mayo de 2006 - Cisco ha anunciado una vulnerabilidad en su cliente VPN para Windows por la que un usuario local podría llegar a conseguir privilegios administrativos.
El Cliente Cisco VPN es una solución software para sistemas operativos Sun Solaris, Apple MacOS Classic y MacOS X, Linux y Microsoft Windows que permite a los usuarios de estos sistemas establecer túneles IPSec VPN a dispositivos calificados Cisco VPN, tales como los routers Cisco IOS, el PIX Security Appliance, los VPN 3000 Series Concentrators y los ASA 5500 Series Adaptive Security Appliances.
Se ven afectados las versiones 2.x, 3.x, 4.0.x, 4.6.x, 4.7.x con la excepción de la versión 4.7.00.0533 y la 4.8.00.x del Cisco VPN Client para Windows (están excluidos los usuarios de Windows 9x).
En un boletín de seguridad Cisco confirma una vulnerabilidad de elevación de privilegios local en su Cliente VPN para Windows, también conocido como "VPN client dialer". Un atacante local podrá explotarla para elevar sus privilegios de usuario y obtener permisos equivalentes a LocalSystem.
Cisco ha publicado una actualización que corrige está vulnerabilidad, ésta nueva versión 4.8.01.0300 del Cliente Cisco VPN para Windows, puede descargarse desde: http://www.cisco.com/pcgi-bin/tablebuild.pl/windows (solo para usuarios registrados). El aviso de seguridad de Cisco está disponible en http://www.cisco.com/warp/public/707/cisco-sa-20060524-vpnclient.shtml.