Vulnerabilidades en Google Chrome

Introducció

Google ha llançat una nova actualització de Chrome amb nous pegats de seguretat.

Anàlisi

Les vulnerabilitats associades al producte afectat són les següent:

CVE-2023-3214 Gravetat de seguretat de Chromium – Crítica:

Ús després de lliure en pagaments Autofill.
 

CVE-2023-3215 Gravetat de seguretat de Chromium – Alta:

Ús després de lliure en WebRTC.
 

CVE-2023-3216 Gravetat de seguretat de Chromium – Alta:

Confusió tipogràfica en V8.
 

CVE-2023-3217 Gravetat de seguretat de Chromium – Alta:

Ús després de free en WebXR.

Versions afectades:

    • Versions de Google Chrome anteriors a 114.0.5735.133 per a Mac i Linux i 114.0.5735.133/134 per a Windows.

Recomanacions

    • Actualitze a la versió 114.0.5735.133 de Chrome per a Mac i Linux
    • Actualitze a la versió 114.0.5735.133/134 de Chrome per a Windows

Referències

https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop_13.html

https://nvd.nist.gov/vuln/detail/CVE-2023-3214

https://nvd.nist.gov/vuln/detail/CVE-2023-3215

https://nvd.nist.gov/vuln/detail/CVE-2023-3216

https://nvd.nist.gov/vuln/detail/CVE-2023-3217

[SCI] [Actualització 15/06/2023] Injecció d’ordres sobre el SO en múltiples productes WAGO

Introducció

Quentin Kaiser de ONEKEY[1] ha reportat, en col·laboració amb CERT@VDE[2], una vulnerabilitat de severitat crítica. L’explotació d’aquesta vulnerabilitat podria permetre a un atacant provocar comportaments no desitjats als dispositius afectats, així com causar condicions de denegació de servei o un compromís total del sistema.

 

Anàlisi

La vulnerabilitat de severitat crítica associada al producte afectat és la següent:

    • CVE-2023-1698: Aquesta vulnerabilitat crítica podria permetre a un atacant remot no autenticat crear nous usuaris i canviar la configuració dels dispositius afectats. L’explotació d’aquesta vulnerabilitat podria resultar en un comportament no desitjat, denegació de servei i compromís total del sistema.

Versions firmware compreses entre la versió 20 i 23 (inclosa) dels següents productes:

    • Compact Controller CC100,
    • PFC100 y PFC200.
    • Edge Controller,
    • Touch Panel 600 Advanced Line,
    • Touch Panel 600 Marine Line,
    • Touch Panel 600 Standard Line.

 

Recomanacions

WAGO recomana actualitzar els dispositius afectats a la versió corresponent. Per a informació específica sobre cada versió, consulteu l’avís de CERT@VDE inclòs a les referències.

 

Referències

[1] OneKEY
[2] WAGO: Unauthenticated command execution via Web-based-management UPDATE A

Setze anys reforçant la ciberseguretat

16 años reforzando la ciberseguridad

El Centre de Seguretat TIC de la Comunitat Valenciana (CSIRT-CV) compleix setze anys. Des dels seus inicis, continua treballant i aplegant esforços per a mantindre un espai cibersegur, així com promovent una cultura de seguretat i bones pràctiques en l’ús de les noves tecnologies per a minimitzar els incidents informàtics.

Per a commemorar aquest aniversari, s’han programat diverses accions durant el mes de juny. Concretament, el 19 d’aquest mes es llançarà una campanya de conscienciació a través dels perfils de Twitter i Facebook del CSIRT-CV durant quinze dies.

La temàtica se centrarà en la intel·ligència artificial (IA): què és, àmbits en els quals s’aplica, exemples d’eines i recomanacions sobre IA. A més, aquesta iniciativa es completarà incloent-hi una de les eines més populars que utilitza aquesta tecnologia, ChatGPT, i es facilitaran usos correctes, incorrectes i recomanacions per a un ús segur d’aquest xat.

D’altra banda, el CSIRT-CV ha organitzat una sessió de conscienciació en matèria de ciberseguretat per als noranta nous empleats de la Generalitat Valenciana amb la finalitat d’augmentar tant el seu nivell de maduresa en ciberseguretat com la seua confiança en l’ús de la tecnologia per a poder exercir les seues tasques de la forma més segura possible i garantir la seguretat de la informació amb la qual treballaran.

 

CSIRT-CV en xifres

El Centre de Resposta en Incidents de Ciberseguretat de la Comunitat Valenciana (CSIRT-CV) ha gestionat un total de 12.353 incidents de seguretat fins a 2023 en aquests setze anys, dels quals més de 180 han sigut de màxima criticitat. Així mateix, en setze ocasions més ha sigut necessària l’activació del GIR per a resoldre l’incident de seguretat.

A més, ha format un total de 26.549 menors de la Comunitat Valenciana des de 2018 gràcies a les Jornades de Ciberseguretat en centres educatius de Secundària, incloses dins del Pla valencià de capacitació, i ha enviat 579 butlletins d’alertes i publicat més de 10.300 notícies i alertes durant la seua vigència.

En aquests setze anys, un total de 57.765 alumnes s’han matriculat en els diferents cursos en línia del CSIRT-CV sobre els riscos en ciberseguretat existents, i des del CSIRT-CV s’han continuat promovent campanyes de conscienciació, impulsant plans de ciberseguretat (Pla de xoc de ciberseguretat de les entitats locals), elaborant els informes anuals d’activitats, ciberamenaces i tendències del CSIRT-CV, generant guies i informes en matèria de ciberseguretat o el primer estudi sobre ciberseguretat industrial, emmarcat en el Pla estratègic de transformació digital de l’Administració de la Generalitat, GENDigital 2025, entre altres qüestions.

En definitiva, el centre espera continuar creixent i arribar a nous horitzons en els pròxims anys gràcies al treball dels més de vint tècnics de l’equip del CSIRT-CV que presta els seus serveis a l’Administració pública, empreses, pimes, ciutadans i les 550 entitats locals de la Comunitat Valenciana.

Si vols ser part activa de la ciberseguretat i convertir-te en un autèntic “tallafoc humà”, pots consultar al CSIRT-CV qualsevol dubte sobre ciberseguretat a través del formulari de contacte, seguir-lo en Facebook i Twitter, on trobaràs informació actual del sector, o formar-te a través dels cursos en línia gratuïts del CSIRT-CV.

Vulnerabilitats en Firefox

Introducció

Se han descubierto múltiples vulnerabilidades en Mozilla Firefox y Firefox ESR. Permiten a un atacante saltarse la política de seguridad y ejecutar remotamente código arbitrario.
 

Análisis

CVE-2023-34414:

La página de error para sitios con certificados TLS inválidos carecía del retardo de activación que Firefox utiliza para proteger las solicitudes y los diálogos de permiso de ataques que explotan los retrasos en el tiempo de respuesta humana. Si una página maliciosa provocaba clics del usuario en lugares precisos inmediatamente antes de navegar a un sitio con un error de certificado y hacía que el renderizador estuviera extremadamente ocupado al mismo tiempo, podía crear un intervalo entre el momento en que se cargaba la página de error y el momento en que se actualizaba la pantalla. Con la sincronización adecuada, los clics provocados podrían aterrizar en ese espacio y activar el botón que anula el error de certificado para ese sitio.


CVE-2023-34416:

Los desarrolladores de Mozilla y miembros de la comunidad Gabriele Svelto, Andrew McCreight, el Mozilla Fuzzing Team, Sean Feng y Sebastian Hengst informaron de fallos de seguridad de memoria presentes en Firefox 113 y Firefox ESR 102.11. Algunos de estos fallos mostraban evidencias de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario.


CVE-2023-34417:

Los desarrolladores de Mozilla y miembros de la comunidad Andrew McCreight, Randell Jesup y el Mozilla Fuzzing Team informaron de fallos de seguridad de memoria presentes en Firefox 113. Algunos de estos fallos mostraban evidencias de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario.
 

Versiones afectadas

    • Versiones de Firefox anteriores a 114
    • Versiones de Firefox ESR anteriores a la 102.12

Recomendaciones

    • Actualice a Firefox versión 114
    • Actualice a Firefox ESR versión 102.12

Referencias

 

    https://www.mozilla.org/en-US/security/advisories/mfsa2023-19/
   https://www.mozilla.org/en-US/security/advisories/mfsa2023-20/