Category: Actualitat

Introducció

Neil Graves, Jorian van den Hout, y Malcolm Stagg han reportat al CISA^[1] múltiples vulnerabilitats, a l’aplicació web de Iagona ScrutisWeb que podria permetre que un usuari no autenticat accedeixi directament a qualsevol arxiu fora de webroot, veure la informació del perfil, inclosos els noms d’inici de sessió dels usuaris i les contrasenyes xifrades, encriptar i desencriptar contrasenyes a text pla i fins i tot carregar fitxers maliciosos i executar-los.

 

Anàlisi

La vulnerabilitat de severitat crítica afecta la versió 2.1.37 i anteriors de ScrutisWeb i se li ha assignat el següent identificador.

• • CVE-2023-35189: Vulnerabilitat d’execució remota de codi que podria permetre que un usuari no autenticat carregui un fitxer maliciós i l’executi. Té una puntuació de 10.0 a CVSS v3

• •  

Recomanacions

El fabricant, Iagona, recomana als usuaris que actualitzin a la versió 2.1.38.

 

Referències

[1] ICSA-23-199-03 – Iagona ScrutisWeb

INTRODUCCIÓ

Microsoft ha publicat recentment el seu habitual paquet d’actualitzacions de seguretat corresponent al mes de Juliol (Patch Tuesday). En este paquet s’han publicat un total de 132 vulnerabilitats, 5 d’elles crítiques, i la resta s’han classificat com a importants.

ANÀLISI

Les vulnerabilitats publicades afecten múltiples productes de Microsoft, i són dels següents tipus:

Escalada de privilegis
Anul·lació de funcions de seguretat
Suplantació d’identitat
Divulgació d’informació
Seqüències de comandos en llocs creuats
Execució remota de codi
Denegació de servici

Cal destacar les 5 vulnerabilitats crítiques:

CVE-2023-32046: vulnerabilitat que podria permetre una escalada de privilegis en equips Windows10.
CVE-2023-32049: vulnerabilitat que podria permetre una anul·lació de funcions de seguretat en equips Windows10.
CVE-2023-35311: vulnerabilitat que podria provocar una anul·lació de funcions de seguretat en Microsoft Office, Microsoft 365 Apps i Microsoft Outlook.
CVE-2023-36874: vulnerabilitat que podria provocar una escalada de privilegis en Windows Server 2008 i 2012.
CVE-2023-36884: vulnerabilitat que podria provocar una execució remota de codi en equips Windows10, Windows Server i Microsoft Office.

RECOMANACIONS

Instal·lar les actualitzacions corresponents quan estiguen disponibles.

Per a conéixer el detall de les actualitzacions consultar el següent enllaç: https://msrc.microsoft.com/update-guide/releaseNote/2023-Jul

REFERÈNCIES

•     https://msrc.microsoft.com/update-guide/releaseNote/2023-Jul
•     https://www.incibe.es/incibe-cert/alerta-temprana/avisos/actualizaciones-de-seguridad-de-microsoft-de-julio-de-2023
•     https://thehackernews.com/2023/07/microsoft-releases-patches-for-130.html
•     https://www.darkreading.com/application-security/microsoft-discloses–zero-days-in-voluminous-july-security-update

Introducció

Rockwell Automation^[1] ha informat d’una vulnerabilitat de severitat crítica que podria donar lloc a la divulgació d’informació confidencial i a l’accés remot complet als productes afectats.

 

Anàlisi

La vulnerabilitat de severitat crítica afecta la versió 1.001 de l’Enhanced HIM i se li ha assignat el següent identificador.

• • CVE-2023-2746: La vulnerabilitat podria provocar que un atacant, a través de tècniques d’enginyeria social, convenci la víctima per prémer en un enllaç fraudulent o fer amb èxit un Cross Site Scripting (XSS) provocant així una divulgació d’informació o accés remot al dispositiu.

• •  

Recomanacions

El fabricant, Rockwell Automation, recomana als usuaris que actualitzin a la versió 1.002.

 

Referències

[1] ICSA-23-192-01 – Rockwell Automation Enhanced HIM

Introducció

S’han descobert múltiples vulnerabilitats en Mozilla Firefox, Firefox ERS i Thunderbird.

Anàlisi

Mozilla ha emés un avís de seguretat on es tracten 13 vulnerabilitats que afecten el navegador Firefox, Firefox ERS i al client de correu electrònic multiplataforma Mozilla Thunderbird. Dins d’estes destaquen 4 de severitat alta els identificadors de la qual són CVE-2023-37201, CVE-2023-37202, CVE-2023-37211, CVE-2023-37212, que de ser explotades podrien conduir a condicions use-after-free i d’execució arbitrària de codi.

• • • CVE-2023-3482: Bloquejar totes les cookies de bypass per a localstorage
    • CVE-2023-37201: Use-after-free en la generació de certificats WebRTC
    • CVE-2023-37202: Possible ús després de l’alliberament de la falta de coincidència de compartiment en SpiderMonkey
    • CVE-2023-37203: L’API d’arrossegar i soltar pot proporcionar accés a arxius locals del sistema
      
    • CVE-2023-37204: Notificació de pantalla completa enfosquida a través de l’element d’opció
      
    • CVE-2023-37205: Suplantació d’URL en la barra de direccions utilitzant caràcters RTL
    • CVE-2023-37206: Validació insuficient d’enllaços simbòlics en l’API FileSystem
    • CVE-2023-37207: Notificació de pantalla completa enfosquida
      
    • CVE-2023-37208: Falta d’advertiment en obrir arxius Diagcab
    • CVE-2023-37209: Use-after-free en `NotifyOnHistoryReload`.
    • CVE-2023-37210: Prevenció d’eixida del mode de pantalla completa
      
    • CVE-2023-37211: Fallades de seguretat de memòria corregits en Firefox 115, Firefox ESR 102.13 i Thunderbird 102.13
    • CVE-2023-37212: Memory safety bugs fixed in Firefox 115

VERSIONS AFECTADES:

• • • Mozilla Firefox versions anteriors a 115.
    • Firefox ESR versions anteriors a 102.13.
    • Firefox Thunderbird versions anteriors a 102.13.

Recomanacions

Per a la mitigació d’estes vulnerabilitats, es recomana tindre sempre els sistemes i aplicacions actualitzades a l’última versió disponible quan es publiquen les actualitzacions corresponents.

Per a solucionar els problemes esmentats, Mozilla recomana instal·lar la versió més recent de Firefox i Thunderbird.

• • • Actualitzar Mozilla Firefox a 115.
    • Actualitzar Firefox ESR a 102.13.
    • Actualitzar Firefox Thunderbird a 102.13.

Referències

• • • https://www.mozilla.org/en-US/security/advisories/mfsa2023-22/
    • https://nvd.nist.gov/vuln/detail/CVE-2023-3482
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37201
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37202
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37203
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37204
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37205
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37206
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37207
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37208
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37209
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37210
    • https://nvd.nist.gov/vuln/detail/CVE-2023-37211