Author: Seguridad CSIRT-CV

Mozilla i Google van anunciar aquesta setmana actualitzacions de programari per a Firefox i Chrome que aborden múltiples vulnerabilitats d’alta gravetat, incloent-hi errors de seguretat de la memòria.

Anàlisi

El dimarts, Mozilla va llançar Firefox 119 amb pedaços per a 11 vulnerabilitats, incloent-hi tres problemes d’alta gravetat.

El primer, CVE-2023-5721, és un error de retard d’activació insuficient que podria provocar que l’usuari active o descarte involuntàriament les indicacions i diàlegs del navegador, la qual cosa podria permetre el segrest de clics, indica Mozilla en el seu avís.

L’actualització del navegador també aborda diversos problemes de seguretat de la memòria rastrejats col·lectivament com a CVE-2023-5730 i CVE-2023-5731, i que, potencialment, podrien permetre als atacants executar codi arbitrari.

Firefox 119 també va arribar amb pedaços per a set errades de gravetat mitjana que van provocar fugues d’encapçalaments, fallades, errors inesperats, obertura d’URL arbitràries, notificacions de pantalla completa enfosquides i elusió de proteccions de descàrrega.

Mozilla també va anunciar el llançament de Firefox ESR 115.4 i Thunderbird 115.4.1 amb pedaços per a huit dels problemes solucionats amb Firefox 119, incloent-hi CVE-2023-5721 i CVE-2023-5730.

El fabricant del navegador no esmenta que cap d’aquestes vulnerabilitats s’aprofite en atacs maliciosos.

D’altra banda, Google va anunciar una actualització de programari per a Chrome que soluciona dues vulnerabilitats, incloent-hi un problema d’alta gravetat informat per un investigador extern.

Registrada com a CVE-2023-5472, l’error es descriu com un problema d’ús després de l’alliberament en Perfils.

Els errors d’ús després de l’alliberament en Chrome es poden explotar per a escapar de l’entorn limitat del navegador i potencialment executar codi en el sistema operatiu subjacent, sempre que es puguen combinar amb altres errors en un procés privilegiat. Google no ha assenyalat que aquesta vulnerabilitat estiga sent explotada en estat salvatge.

• Recursos afectats

• • Firefox for iOS amb versions anteriors a la 119.
  • Thunderbird amb versions anteriors a la 115.4.1.
  • Firefox amb versions anteriors a l’ESR 115.4
  • Firefox amb versions anteriors a la 119.
  • Chrome amb versions anteriors a la 118.0.5993.117 per a macOS i Linux i amb versions anteriors a la 118.0.5993.117/.118 per a Windows.

Recomanacions

Aplicar les actualitzacions necessàries a les versions que corregeixen les vulnerabilitats:

• • Firefox for iOS 119.
  • Thunderbird 115.4.1.
  • Firefox ESR 115.4
  • Firefox 119.
  • Chrome 118.0.5993.117 per a macOS i Linux i 118.0.5993.117/.118 per a Windows.

Referències

• • https://www.cisa.gov/news-events/alerts/2023/10/25/mozilla-releases-security-advisories-multiple-products

Introducció

VMware va informar diverses vulnerabilitats en VMware Aria Operations for Logs.

Anàlisi

Les vulnerabilitats de severitat crítica associades als seus productes són les següents:

CVE-2023-34051

La vulnerabilitat de gravetat alta (CVSS:8.1) es relaciona amb un cas d’omissió d’autenticació que podria conduir a l’execució remota de codi.

CVE-2023-34052

La vulnerabilitat de gravetat alta (CVSS:8.1) es relaciona amb deserialización. Un actor malintencionat amb accés no administratiu al sistema local pot desencadenar la deserialización de dades, la qual cosa podria provocar una omissió d’autenticació.

Recursos afectats

• VMware Cloud Foundation versions 5.x, 4.x
• Recomanacions

• Aplicar els pegats llançats per VMware per a corregir les fallades en cadascuna de les versions, disponibles en la següent URL:
• https://kb.vmware.com/s/article/95212

Referències

https://kb.vmware.com/s/article/95212

https://www.vmware.com/security/advisories/VMSA-2023-0021.html

https://github.com/horizon3ai/CVE-2023-34051

Oracle ha publicat una actualització crítica amb pegats per a corregir vulnerabilitats que afecten múltiples productes.

Anàlisi

Aquesta actualització resol 387 vulnerabilitats, algunes de les quals són crítiques. El detall de les vulnerabilitats resoltes es pot consultar en l’enllaç d’Oracle de la secció de ‘Referències’.

• • Les vulnerabilitats que afecten Oracle Solaris poden afectar Oracle ZFSSA, per la qual cosa els clients d’Oracle han de consultar el document de coneixement d’actualització de pegats crítics d’Oracle i Sun Systems Product Suite, My Oracle Support Note 2160904.1 per a obtindre informació sobre les revisions mínimes dels pegats de seguretat necessaris per a resoldre els problemes de ZFSSA publicats en actualitzacions de pegats crítics i butlletins de tercers de Solaris.

• • Els butlletins de tercers de Solaris s’utilitzen per a anunciar pegats de seguretat per a programari de tercers distribuïts amb Oracle Solaris. Els clients de Solaris 10 han de consultar els conjunts de pegats més recents que contenen pegats de seguretat crítics detallats en el document de disponibilitat de pegats de sistemes. Es pot consultar l’índex de referència d’ID de CVE i pegats de Solaris ( (My Oracle Support Note 1448883.1) per a obtindre més informació.

• • Els usuaris que executen Java SE amb un navegador poden descarregar l’última versió des de la web de Java. Els usuaris de les plataformes Windows i Mac US X també poden usar actualitzacions automàtiques per a obtindre l’última versió.

Recursos afectats

• • BI Publisher, versions 6.4.0.0.0, 7.0.0.0.0, 12.2.1.4.0.
  • GoldenGate Big Data, versions 21.3-21.10.
  • GoldenGate Veridata, versions 12.2.1.4.0-12.2.1.4.230922.
  • Hospitality OPERA 5 Property Services, versió 5.6.
  • JD Edwards EnterpriseOne Tools, versió 9.2.7.
  • Management Cloud Engine, versió 23.1.0.0.
  • MySQL Cluster, versions 8.0.34 i anteriors, 8.1.0.
  • MySQL Connectors, versions 8.1.0 i anteriors.
  • MySQL Enterprise Monitor, versions 8.0.35 i anteriors.
  • MySQL Installer, versions anteriors a 1.6.8.
  • MySQL Server, versions 5.7.43 i anteriors, 8.0.34 i anteriors, 8.1.0 i anteriors.
  • MySQL Shell, versions 8.1.1 i anteriors.
  • Oracle Access Manager, versió 12.2.1.4.0.
  • Oracle Agile PLM, versió 9.3.6.
  • Oracle Application Testing Suite, versió 13.3.0.1.
  • Oracle Banking APIs, versions 18.3, 19.1, 19.2, 21.1, 22.1, 22.2.
  • Oracle Banking Branch, versions 14.5-14.7.
  • Oracle Banking Cash Management, versions 14.5-14.7.
  • Oracle Banking Corporate Lending, versions 14.0-14.3, 14.5-14.7.
  • Oracle Banking Corporate Lending Process Management, versions 14.5-14.7.
  • Oracle Banking Credit Facilities Process Management, versions 14.5-14.7.
  • Oracle Banking Deposits i Lines of Credit Servicing, versions 2.7, 2.12.
  • Oracle Banking Digital Experience, versions 18.3, 19.1, 19.2, 21.1, 22.1, 22.2.
  • Oracle Banking Electronic Data Exchange for Corporates, versions 14.5-14.7.
  • Oracle Banking Liquidity Management, versions 14.5-14.7.
  • Oracle Banking Loans Servicing, versió 2.12.
  • Oracle Banking Origination, versions 14.5-14.7.
  • Oracle Banking Party Management, versió 2.7.
  • Oracle Banking Payments, versions 14.0-14.3, 14.5-14.7.
  • Oracle Banking Platform, versions 2.6.2, 2.9.0.
  • Oracle Banking Supply Chain Finance, versions 14.5-14.7.
  • Oracle Banking Trade Finance, versions 14.5-14.7.
  • Oracle Banking Trade Finance Process Management, versions 14.5-14.7.
  • Oracle Banking Virtual Account Management, versions 14.5-14.7.
  • Oracle Big Data Spatial i Graph, versions 2.5 i anteriors.
  • Oracle Business Intelligence Enterprise Edition, versions 6.4.0.0.0, 7.0.0.0.0, 12.2.1.4.0.
  • Oracle Business Process Management Suite, versió 12.2.1.4.0.
  • Oracle Coherence, versions 12.2.1.4.0, 14.1.1.0.0.
  • Oracle Commerce Guided Search, versió 11.3.2.
  • Oracle Communications BRM – Elastic Charging Engine, versions 12.0.0.4-12.0.0.8.
  • Oracle Communications Cloud Native Core Binding Support Function, versions 23.1.0-23.1.8, 23.2.0-23.2.4.
  • Oracle Communications Cloud Native Core Console, versions 23.1.1, 23.1.2, 23.2.1.
  • Oracle Communications Cloud Native Core Network Exposure Function, versions 23.1.3, 23.3.0.
  • Oracle Communications Cloud Native Core Network Function Cloud Native Environment, versions 23.2.0, 23.2.2.
  • Oracle Communications Cloud Native Core Network Repository Function, versions 23.1.3, 23.2.1, 23.3.0.
  • Oracle Communications Cloud Native Core Policy, versions 23.1.0-23.1.8, 23.2.0-23.2.4.
  • Oracle Communications Cloud Native Core Security Edge Protection Proxy, versions 23.1.0, 23.1.3, 23.3.0.
  • Oracle Communications Cloud Native Core Unified Data Repository, versió 23.1.2.
  • Oracle Communications Convergent Charging Controller, versió 12.0.6.0.
  • Oracle Communications Diameter Signaling Encaminador, versions 8.6.0.0, 9.0.0.0.
  • Oracle Communications Element Manager, versions 9.0.0-9.0.2.
  • Oracle Communications IP Service Activator, versions 7.4.0, 7.5.0.
  • Oracle Communications MetaSolv Solution, versió 6.3.1.0.0.
  • Oracle Communications Network Analytics Data Director, versió 23.2.0.
  • Oracle Communications Network Charging i Control, versió 12.0.6.0.
  • Oracle Communications Order i Service Management, versions 7.4.0, 7.4.1.
  • Oracle Communications Policy Management, versió 12.6.0.0.
  • Oracle Communications Session Report Manager, versions 9.0.0-9.0.2.
  • Oracle Communications Unified Assurance, versions 5.5.0-5.5.17, 6.0.0-6.0.3.
  • Oracle Communications WebRTC Session Controller, versions 7.2.0.0.0, 7.2.1.0.0.
  • Oracle Data Integrator, versió 12.2.1.4.0.
  • Oracle Database Server, versions 19.3-19.20, 21.3-21.11.
  • Oracle Documaker, versions 12.6.4-12.7.1.
  • Oracle E-Business Suite, versions 12.2.3-12.2.12, [ECC] 8, [ECC] 9, [ECC] 10.
  • Oracle Enterprise Communications Broker, versions 3.3, 4.0, 4.1.
  • Oracle Enterprise Data Quality, versió 12.2.1.4.0.
  • Oracle Enterprise Manager Base Platform, versió 13.5.0.0.
  • Oracle Enterprise Manager for Peoplesoft, versió 13.5.1.1.
  • Oracle Enterprise Manager Ops Center, versió 12.4.0.0.
  • Oracle Enterprise Operations Monitor, versions 5.0, 5.1.
  • Oracle Enterprise Session Border Controller, versions 9.0-9.2.
  • Oracle Essbase, versió 21.5.0.0.0.
  • Oracle Financial Services Cash Flow Engine, versió 8.1.2.0.0.
  • Oracle Financial Services Model Management i Governance, versions 8.1.2.3, 8.1.2.4.
  • Oracle FLEXCUBE Core Banking, versions 11.6-11.8, 11.10, 11.11.
  • Oracle FLEXCUBE Enterprise Limits i Collateral Management, versions 12.3, 12.4, 14.0-14.3, 14.5-14.7.
  • Oracle FLEXCUBE Universal Banking, versions 12.3, 12.4, 14.0-14.3, 14.5-14.7.
  • Oracle Fusion Middleware MapViewer, versió 12.2.1.4.0.
  • Oracle Global Lifecycle Management OPatch, versions anteriors a 12.2.0.1.40.
  • Oracle GoldenGate Studio, versió 12.2.1.4.0.
  • Oracle GraalVM for JDK, versions 17.0.8, 20.0.2.
  • Oracle Graph Server i Client, versions 22.4.4 i anteriors.
  • Oracle Healthcare Master Person Index, versions 5.0.0-5.0.6.
  • Oracle HTTP Server, versió 12.2.1.4.0.
  • Oracle Hyperion Infrastructure Technology, versió 11.2.14.0.0.
  • Oracle Identity Manager, versió 12.2.1.4.0.
  • Oracle Java SE, versions 8u381, 8u381-perf, 11.0.20, 17.0.8, 20.0.2.
  • Oracle Life Sciences InForm, versió 7.0.0.0.
  • Oracle Life Sciences InForm Publisher, versió 6.3.1.0.
  • Oracle Managed File Transfer, versió 12.2.1.4.0.
  • Oracle Middleware Common Libraries i Tools, versió 12.2.1.4.0.
  • Oracle Outside In Technology, versió 8.5.6.
  • Oracle REST Data Services, versions anteriors a 23.2.2.
  • Oracle Retail Bulk Data Integration, versions 16.0.3, 19.0.1.
  • Oracle Retail Customer Management i Segmentation Foundation, versions 18.0.0.13, 19.0.0.7.
  • Oracle Retail EFTLink, versions 20.0.1, 21.0.0, 22.0.0.
  • Oracle Retail Financial Integration, versions 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1.
  • Oracle Retail Fiscal Management, versió 14.2.
  • Oracle Retail Integration Bus, versions 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1.
  • Oracle Retail Marxandatge System, versió 19.0.1.
  • Oracle Retail Service Backbone, versions 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1.
  • Oracle Retail Xstore Point of Service, versions 18.0.5, 19.0.4, 20.0.3, 21.0.2, 22.0.0.
  • Oracle SD-WAN Edge, versions 9.1.1.5.0, 9.1.1.6.0.
  • Oracle Secure Backup, versions 18.1.0.1.0, 18.1.0.2.0.
  • Oracle Service Bus, versió 12.2.1.4.0.
  • Oracle SOA Suite, versió 12.2.1.4.0.
  • Oracle Solaris, versions 10, 11.
  • Oracle Unified Directory, versió 12.2.1.4.0.
  • Oracle Utilities Application Framework, versions 4.2.0.3.0, 4.3.0.1.0-4.3.0.6.0, 4.4.0.0.0, 4.4.0.2.0, 4.4.0.3.0, 4.5.0.0.0, 4.5.0.0.1, 4.5.0.1.0-4.5.0.1.2.
  • Oracle Utilities Network Management System, versions 2.3.0.2, 2.4.0.1.
  • Oracle VM VirtualBox, versions anteriors a 7.0.12.
  • Oracle WebCenter Content, versió 12.2.1.4.0.
  • Oracle WebCenter Portal, versió 12.2.1.4.0.
  • Oracle WebLogic Server, versions 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0.
  • PeopleSoft Enterprise CC Common Application Objects, versió 9.2.
  • PeopleSoft Enterprise HCM Global Payroll Switzerland, versió 9.2.
  • PeopleSoft Enterprise PeopleTools, versions 8.59, 8.60.
  • Primavera Gateway, versions 19.12.0-19.12.17, 20.12.0-20.12.12, 21.12.0-21.12.10.
  • Primavera Unifier, versions 19.12.0-19.12.16, 20.12.0-20.12.16, 21.12.0-21.12.16, 22.12.0-22.12.9.
  • Siebel Applications, versions 23.8 i anteriors.
  • Sun ZFS Storage Appliance, versió 8.8.60.
  • TimesTen In-Memory Database, versions anteriors a 18.1.4.38.0, anteriors a 18.1.4.39.0, anteriors a 22.1.1.18.0.

Recomanacions

• • Aplicar els pegats corresponents segons els productes afectats. La informació per a descarregar les actualitzacions pot obtindre’s del butlletí de seguretat publicat per Oracle.

Referències

Liferay ha publicat cinc vulnerabilitats crítiques que afecten diferents versions dels seus productes DXP i Portal.

Anàlisi

 Les vulnerabilitats identificades són de tipus:

• • Cross-Site Scripting (XSS) reflectit o indirecte (CVE-2023-42497 i CVE-2023-44311)
  • Cross-Site Scripting (XSS) persistent o directe (CVE-2023-42629, CVE-2023-44309 i CVE-2023-44310)

Recursos afectats

• • Liferay DXP 7.3 fix pack 1, fins a l’actualització 23;
  • Liferay DXP 7.4, abans de l’actualització 89;
  •  Liferay Portal, des de 7.3.6 fins a 7.4.3.89.

Recomanacions

Aplicar les actualitzacions següents:

• • Liferay DXP 7.3, actualització 24;
  • Liferay DXP 7.4, actualització 90;
  • Liferay Portal 7.4.3.90.

Referències

• • • CVE-2023-42497 XSS with `redirect` in export translation

    • CVE-2023-42629 Stored XSS vulnerability with vocabulary description

    • CVE-2023-44309 XSS with fragment components

    • CVE-2023-44310 XSS with page name in Page Tree

    • CVE-2023-44311 Reflected XSS with ‘code’ and ‘error’ in OAuth2ProviderApplicationRedirect