La nova vulnerabilitat CVE-2022-42889 en Apache Commons Text, denominada «Text4Shell», és causada per una avaluació de seqüències de comandaments insegura per part del sistema d’interpolació que podria desencadenar l’execució de codi en processar entrades malicioses en la configuració.
Author: Seguridad CSIRT-CV
[SCC] Fugida d’informació relacionada amb Microsoft
Des de SOCRadar han informat a Microsoft d’una fallada de configuració en un criteri d’informació d’un lloc d’emmagatzematge. Aquesta fallada permet accedir a informació confidencial amb un usuari no autenticat. Microsoft ha corregit aquest error, el criteri d’informació s’ha protegit i ara només està accessible per a usuaris autenticats.
Quant al tipus d’informació que és accessible, es troben noms, adreces de correu electrònic, contingut de correus, noms d’empreses, números de telèfon i arxius adjunts. Aquesta informació es troba en comunicacions entre Microsoft i els seus clients, com per exemple en obrir un cas de suport.
Quant a les recomanacions i accions a dur a terme, Microsoft de manera proactiva ha anat revisant la informació que s’ha publicat per a cada organització i ha elaborat accions específiques. Per tant el que s’ha de fer és accedir a https://admin.microsoft.com/adminportal/home#/MessageCenter, que és el centre de missatges, ací apareixerà l’avís amb les accions a dur a terme. Si no apareix res, és que no és necessari realitzar cap acció.
En el cas del tenant de Generalitat, ja n’estan al corrent i estan duent a terme les mesures necessàries.
Referències
Vulnerabilitats en WhatsApp permeten compromís del dispositiu en rebre determinats vídeos o videotrucades
Introducció
WhatsApp ha publicat dues vulnerabilitats de criticitats alta i crítica, respectivament. Aquestes vulnerabilitats poden permetre l’execució remota de codi a dispositius no actualitzats en rebre contingut especialment alterat.
Anàlisi
Les versions no actualitzades de WhatsApp i Business, tant per a Android com per a iOS, tenen un problema de desbordament de nombres enters (integer overflow) que, en establir una videotrucada especialment manipulada per l’atacant, pot resultar en execució remota de codi (RCE). Aquesta vulnerabilitat ha rebut l’identificador CVE-2022-36934 i una puntuació CVSS de 9,8.
Les versions no actualitzades de WhatsApp, tant per a Android com per a iOS, tenen un problema de desbordament negatiu de nombres enters (integer underflow) que, en rebre un vídeo especialment manipulat per l’atacant, pot resultar en execució remota de codi (RCE). Aquesta vulnerabilitat ha rebut l‟identificador CVE-2022-27492 i una puntuació CVSS de 7,8.
Recursos afectats
En el cas de la vulnerabilitat per l’establiment d’una videotrucada (CVE-2022-36934), les versions vulnerables són:
– WhatsApp per a Android anterior a la versió v2.22.16.12
– Business per a Android anterior a la v2.22.16.12
– WhatsApp per a iOS anterior a la versió v2.22.16.12
– Business per a iOS anterior a la v2.22.16.12
En el cas de la vulnerabilitat per l’enviament d’un vídeo maliciós (CVE-2022-27492), les versions vulnerables són:
– WhatsApp per a Android anterior a la v2.22.16.2
– WhatsApp per a iOS v2.22.15.9
Recomanacions
Es recomana actualitzar l’aplicació WhatsApp i/o Business des de Play Store (Android) o App Store (iOS). Segons com estiga configurat el dispositiu, aquestes actualitzacions poden ser automàtiques. Per tant, si no existeix l’opció d’actualitzar és probable que el dispositiu ja estigui en la versió més actualitzada. La versió, independentment de l’aplicació o el sistema operatiu, hauria de ser la v2.22.16.12 o superior.
Referencies
[2] https://nvd.nist.gov/vuln/detail/CVE-2022-27492
[3] https://derechodelared.com/whatsapp-vulnerabilidad/