Publicado el

Vulnerabilidad en librería XZ Utils y Kernel Linux

Se han publicado recientemente 2 vulnerabilidades de criticidad crítica y alta que afectarían al Kernel de linux y a la librería XZ Utils.

Respecto a la primera, CVE-2024-1086, de ellas se ha publicado una prueba de concepto (POC) y respecto a la segunda, CVE-2024-3094, solo afecta a versiones de preproducción de algunas distribuciones de linux

Análisis

CVE-2024-3094 (CVSS 10 Crítica) : Andres Freund, ingeniero de software de Microsoft, ha descubierto una vulnerabilidad crítica en XZ Utils, una librería de compresión de datos ampliamente utilizada en varias distribuciones de Linux. En las versiones 5.6.0 y 5.6.1 se introdujo código malicioso. XZ Utils que incluye la librería liblzma utilizado por varios software, incluyendo sshd que es una de las técnicas conocidas para abusar del backdoor instalado.

La detección temprana ha evitado la inclusión de esta backdoor en versiones de producción.

Recursos afectados

– XZ Utils, versiones 5.6.0 y 5.6.1.

– Paquetes XZ de ArchLinux, versiones anteriores a 5.6.1-2 (concretamente 5.6.0-1 y 5.6.1-1).

– Fedora Linux 40, se recomienda utilizar la versión 5.4.

– Kali Linux, entre 26 y 29 de marzo.

– OpenSUSE Tumbleweed y openSUSE MicroOS, entre 7 y 28 de marzo.

– Versiones experimentales e inestables de Debian, desde 5.5.1alpha-0.1 hasta 5.6.1-1.

– Paquetes de XZ Utils 5.6.x creados en Debian inestable. Se recomienda a los usuarios de otras distribuciones consultar con sus distribuidores.

CVE-2024-1086 (CVSS 7.8 Alta): Una vulnerabilidad use-after-free en el componente netfilter: nf_tables del kernel de Linux puede ser explotada para conseguir una escalada local de privilegios. La función nft_verdict_init() permite valores positivos como código de error devuelto dentro del veredicto del hook, y por lo tanto la función nf_hook_slow() puede causar una vulnerabilidad de doble free cuando se emite NF_DROP con un código de error que se parece a NF_ACCEPT.

Recursos afectados

Versiones de Kernel Linux  v3.15 a v6.8rc1

Recomendaciones 

Para la CVE-2024-3094, se recomienda cambiar la versión de XZ Utils a una versión en producción no afectada, como por ejemplo 5.4.6, y después reiniciar el equipo o el servidor OpenSSH para eliminar el código de la memoria.

Para CVE-2024-1086, se recomienda actualizar a la versión más reciente de Kernel no afectadas por la vulnerabilidad como 6.1.76, 6.6.15 y 6.7.3.

Referencias

https://nvd.nist.gov/vuln/detail/CVE-2024-1086

https://nvd.nist.gov/vuln/detail/CVE-2024-3094

https://github.com/Notselwyn/CVE-2024-1086

https://thehackernews.com/2024/03/urgent-secret-backdoor-found-in-xz.html

https://unaaldia.hispasec.com/2024/03/dos-graves-vulnerabilidades-en-linux-escalada-de-privilegios-y-puerta-trasera-en-el-kernel.html

Publicado el

Una vulnerabilidad irreparable en el chip de Apple filtra claves de cifrado secretas

    Una vulnerabilidad recientemente descubierta incorporada en la serie M de chips de Apple permite a los atacantes extraer claves secretas de las Mac cuando realizan operaciones criptográficas ampliamente utilizadas, revelaron investigadores académicos en un artículo publicado el 21/03/2024

Análisis

    La amenaza reside en el captador previo dependiente de la memoria de datos de los chips, una optimización de hardware que predice las direcciones de memoria de los datos a los que es probable que acceda el código en ejecución en un futuro próximo. Al cargar el contenido en la memoria caché de la CPU antes de que sea realmente necesario, el DMP, como se abrevia la característica, reduce la latencia entre la memoria principal y la CPU, un cuello de botella común en la informática moderna. Los DMP son un fenómeno relativamente nuevo que se encuentra sólo en los chips de la serie M y en la microarquitectura Raptor Lake de 13.ª generación de Intel, aunque las formas más antiguas de captadores previos han sido comunes durante años.

    Los expertos en seguridad saben desde hace mucho tiempo que los captadores previos clásicos abren un canal lateral que los procesos maliciosos pueden sondear para obtener material de clave secreta de operaciones criptográficas. Esta vulnerabilidad es el resultado de que los captadores previos hagan predicciones basadas en patrones de acceso anteriores, lo que puede crear cambios en el estado que los atacantes pueden aprovechar para filtrar información. En respuesta, los ingenieros criptográficos han ideado la programación en tiempo constante, un enfoque que garantiza que todas las operaciones tarden la misma cantidad de tiempo en completarse, independientemente de sus operandos . Para ello, mantiene el código libre de estructuras o accesos a la memoria dependientes de secretos.

Versiones Afectadas

    • Procesadores A14
    • Procesadores M1, M1 Max, M1 Pro, etc.
    • Procesadores M2

Recomendaciones 

No existen recomendaciones dado que no existe un parche para la vulnerabilidad al tratarse de una vulnerabilidad en la microarquitectura. Se puede mitigar mediante creación de software criptográfico de terceros pero eso degradaría drásticamente el rendimiento de la serie M al ejecutar operaciones criptográficas

Referencias

https://arstechnica.com/security/2024/03/hackers-can-extract-secret-encryption-keys-from-apples-mac-chips/

https://www.prefetchers.info/

https://gofetch.fail/

https://developer.apple.com/documentation/xcode/writing-arm64-code-for-apple-platforms#Enable-DIT-for-constant-time-cryptographic-operations 

Publicado el

Vulnerabilidad de expiración de sesión insuficiente en router Sagemcom

INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta al router FAST3686 V2 Vodafone (fabricado por Sagemcom), dispositivo hardware que permite el acceso a Internet.

Análisis

A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE:

CVE-2024-1623: 7.7 | CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | CWE-613

CVE-2024-1623: vulnerabilidad de expiración de sesión insuficiente en el router FAST3686 V2 Vodafone del fabricante Sagemcom. Esta vulnerabilidad podría permitir a un atacante local acceder al panel de administración sin requerir credenciales de inicio de sesión. Esta vulnerabilidad es posible debido a que los archivos ‘Login.asp y logout.asp’ no gestionan correctamente los detalles de la sesión.

Recursos afectados

Router FAST3686 V2 Vodafone, todas las versiones anteriores a FAST3686_ONO-SIP_3.709.2.

Recomendaciones 

Vulnerabilidad solucionada en la versión FAST3686_ONO-SIP_3.709.2 (lanzada en julio del 2023).

Referencias

https://www.papercut.com/kb/Main/Security-Bulletin-March-2024

https://nvd.nist.gov/vuln/detail/CVE-2024-1222

Publicado el

Vulnerabilidad en PaperCut

Esta vulnerabilidad podría permitir potencialmente una escalada de privilegios en los servidores PaperCut NG/MF. Esta vulnerabilidad utiliza una solicitud de API formada de forma maliciosa contra un punto final de API mal configurado. Esto solo se aplica a un pequeño subconjunto de puntos finales de API PaperCut NG/MF.

Análisis

Permite a los atacantes utilizar una solicitud de API formada de forma maliciosa para obtener acceso a un nivel de autorización de API con privilegios elevados.

CVE-2024-1222 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L – 8.6

Recursos afectados

Versiones PaperCut NG/MF anteriores a 23.0.7, 22.1.5, 21.2.14, 20.1.10.

Recomendaciones 

Actualizar a una de las versiones PaperCut NG/MF 23.0.7 o posterior, 22.1.5, 21.2.14, 20.1.10.

Referencias

https://www.papercut.com/kb/Main/Security-Bulletin-March-2024

https://nvd.nist.gov/vuln/detail/CVE-2024-1222