Vulnerabilidades en Google Chrome

Introducción

Google ha lanzado una nueva actualización de Chrome con nuevos parches de seguridad.

 

Análisis

Las vulnerabilidades asociadas al producto afectado son las siguiente:

CVE-2023-3214 Gravedad de seguridad de Chromium – Crítica:

Uso después de libre en pagos Autofill.
 

CVE-2023-3215 Gravedad de seguridad de Chromium – Alta:

Uso después de libre en WebRTC.
 

CVE-2023-3216 Gravedad de seguridad de Chromium – Alta:

Confusión tipográfica en V8.
 

CVE-2023-3217 Gravedad de seguridad de Chromium – Alta:

Uso después de free en WebXR.

 

Versiones afectadas:

    • Versiones de Google Chrome anteriores a 114.0.5735.133 para Mac y Linux y 114.0.5735.133/134 para Windows.

 

Recomendaciones

    • Actualice a la versión 114.0.5735.133 de Chrome para Mac y Linux
    • Actualice a la versión 114.0.5735.133/134 de Chrome para Windows

 

Referencias

https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop_13.html

https://nvd.nist.gov/vuln/detail/CVE-2023-3214

https://nvd.nist.gov/vuln/detail/CVE-2023-3215

https://nvd.nist.gov/vuln/detail/CVE-2023-3216

https://nvd.nist.gov/vuln/detail/CVE-2023-3217

 

[SCI] [Actualización 15/06/2023] Inyección de comandos sobre el SO en múltiples productos WAGO

Introducción

Quentin Kaiser de ONEKEY[1] ha reportado, en colaboración con CERT@VDE[2], una vulnerabilidad de severidad crítica. La explotación de esta vulnerabilidad podría permitir a un atacante provocar comportamientos no deseados en los dispositivos afectados, así como causar condiciones de denegación de servicio o un compromiso total del sistema.

 

Análisis

La vulnerabilidad de severidad crítica asociada al producto afectado es la siguiente:

    • CVE-2023-1698: Esta vulnerabilidad crítica podría permitir a un atacante remoto no autenticado crear nuevos usuarios y cambiar la configuración de los dispositivos afectados. La explotación de esta vulnerabilidad podría resultar en un comportamiento no deseado, denegación de servicio y compromiso total del sistema.

Versiones firmware comprendidas entre la versión 20 y 23 (incluida) de los siguientes productos:

    • Compact Controller CC100,
    • PFC100 y PFC200.
    • Edge Controller,
    • Touch Panel 600 Advanced Line,
    • Touch Panel 600 Marine Line,
    • Touch Panel 600 Standard Line.

 

Recomendaciones

WAGO recomienda actualizar los dispositivos afectados a la versión correspondiente. Para información específica sobre cada versión, consultar el aviso de CERT@VDE incluido en las referencias.

 

Referencias

[1] OneKEY
[2] WAGO: Unauthenticated command execution via Web-based-management UPDATE A

16 años reforzando la Ciberseguridad

El Centro de Seguridad TIC de la Comunitat Valenciana (CSIRT-CV) cumple 16 años. Desde sus inicios, sigue trabajando y aunando esfuerzos para mantener un espacio ciberseguro, así como promoviendo una cultura de seguridad y buenas prácticas en el uso de las nuevas tecnologías para minimizar los incidentes informáticos.

Para conmemorar este aniversario, se han programado varias acciones durante el mes de junio. Concretamente, el 19 de este mes, se lanzará una campaña de concienciación a través de los perfiles de Twitter y Facebook de CSIRT-CV durante 15 días.

La temática se centrará en la Inteligencia Artificial (IA): qué es, ámbitos en los que se aplica, ejemplos de herramientas y recomendaciones sobre IA. Además, esta iniciativa se completará abarcando una de las herramientas más populares que utiliza esta tecnología: ChatGPT y se facilitarán usos correctos, incorrectos y recomendaciones para un uso seguro de este chat.

Por otro lado, CSIRT-CV ha organizado una sesión de concienciación en materia de Ciberseguridad para los 90 nuevos empleados de la Generalitat Valenciana con la finalidad de aumentar tanto el nivel de madurez en ciberseguridad como la confianza en el uso de la tecnología para poder desempeñar sus labores de la forma más segura posible y garantizar la seguridad de la información con la que van a trabajar.

 

CSIRT-CV en cifras

El Centro de Respuesta ante Incidentes de Ciberseguridad de la Comunitat Valenciana (CSIRT-CV) ha gestionado un total de 12.353 incidentes de seguridad hasta 2023 en estos 16 años, de los que más de 180 han sido de máxima criticidad. Además, en otras 16 ocasiones ha sido necesaria la activación del GIR para resolver el incidente de seguridad.

Asimismo, ha formado a un total de 26.549 menores de la Comunitat Valenciana desde 2018 gracias a las Jornadas de Ciberseguridad en centros educativos de Secundaria, incluidas dentro del Plan Valenciano de Capacitación, ha enviado 579 boletines de alertas y ha publicado más de 10.300 noticias y alertas durante su vigencia.

En estos 16 años, un total de 57.765 alumnos se han matriculado en los diferentes cursos online de CSIRT-CV sobre los riesgos en ciberseguridad existentes y desde CSIRT-CV se ha continuado promoviendo campañas de concienciación, impulsando Planes de Ciberseguridad (Plan de Choque de ciberseguridad de las Entidades Locales), elaborando los informes anuales de actividades, ciberamenazas y tendencias de CSIRT-CV, generando guías e informes en materia de ciberseguridad o el primer estudio sobre ciberseguridad industrial enmarcado en el Plan Estratégico de Transformación Digital de la Administración de la Generalitat GENDigital 2025, entre otras cuestiones.

En definitiva, el centro espera seguir creciendo y alcanzando nuevos horizontes en los próximos años gracias al trabajo de los más de 20 técnicos del equipo CSIRT-CV, que presta sus servicios a la Administración Pública, empresas, pymes, ciudadanos y a las 550 entidades locales de la Comunitat Valenciana.

Si quieres ser parte activa de la Ciberseguridad y convertirte en un auténtico «Firewall humano”, puedes consultar a CSIRT-CV cualquier duda sobre ciberseguridad a través del formulario de contacto, seguir las redes sociales de Facebook y Twitter, donde encontrarás información actual del sector o formarte a través de los cursos online gratuitos del CSIRT-CV.

  •  

Vulnerabilidades en Firefox

Introducción

Se han descubierto múltiples vulnerabilidades en Mozilla Firefox y Firefox ESR. Permiten a un atacante saltarse la política de seguridad y ejecutar remotamente código arbitrario.
 

Análisis

CVE-2023-34414:

La página de error para sitios con certificados TLS inválidos carecía del retardo de activación que Firefox utiliza para proteger las solicitudes y los diálogos de permiso de ataques que explotan los retrasos en el tiempo de respuesta humana. Si una página maliciosa provocaba clics del usuario en lugares precisos inmediatamente antes de navegar a un sitio con un error de certificado y hacía que el renderizador estuviera extremadamente ocupado al mismo tiempo, podía crear un intervalo entre el momento en que se cargaba la página de error y el momento en que se actualizaba la pantalla. Con la sincronización adecuada, los clics provocados podrían aterrizar en ese espacio y activar el botón que anula el error de certificado para ese sitio.


CVE-2023-34416:

Los desarrolladores de Mozilla y miembros de la comunidad Gabriele Svelto, Andrew McCreight, el Mozilla Fuzzing Team, Sean Feng y Sebastian Hengst informaron de fallos de seguridad de memoria presentes en Firefox 113 y Firefox ESR 102.11. Algunos de estos fallos mostraban evidencias de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario.


CVE-2023-34417:

Los desarrolladores de Mozilla y miembros de la comunidad Andrew McCreight, Randell Jesup y el Mozilla Fuzzing Team informaron de fallos de seguridad de memoria presentes en Firefox 113. Algunos de estos fallos mostraban evidencias de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario.
 

Versiones afectadas

    • Versiones de Firefox anteriores a 114
    • Versiones de Firefox ESR anteriores a la 102.12

Recomendaciones

    • Actualice a Firefox versión 114
    • Actualice a Firefox ESR versión 102.12

Referencias

 

    https://www.mozilla.org/en-US/security/advisories/mfsa2023-19/
   https://www.mozilla.org/en-US/security/advisories/mfsa2023-20/