Author: Seguridad CSIRT-CV

Oracle ha publicat un avís que conté 441 nous pedaços de seguretat per a diferents famílies de productes. En este avís cobrirem les vulnerabilitats crítiques dels mateixos productes Oracle.

Análisis

Els pedaços de seguretat resolen les vulnerabilitats següents:

• • CVE-2024-21071 : Vulnerabilitat en el producte Oracle Workflow d’Oracle E-Business Suite (component: Admin Screens and Grants UI). Una vulnerabilitat fàcilment explotable permet a un atacant amb privilegis elevats amb accés a la xarxa a través d’HTTP posar en perill Oracle Workflow. Encara que la vulnerabilitat es troba en Oracle Workflow, els atacs poden afectar significativament productes addicionals (canvi d’abast). Els atacs exitosos d’esta vulnerabilitat poden resultar en la presa de control d’Oracle Workflow.

• •  CVE-2024-21092 : Vulnerabilitat en el producte Oracle Agile Product Lifecycle Management for Process d’Oracle Supply Chain (component: Product Quality Management). Una vulnerabilitat fàcilment explotable permet a un atacant amb pocs privilegis i accés a la xarxa a través d’HTTP posar en perill Oracle Agile Product Lifecycle Management for Process. Els atacs exitosos d’esta vulnerabilitat poden resultar en la creació no autoritzada, eliminació o modificació d’accés a dades crítiques o a totes les dades accessibles d’Oracle Agile Product Lifecycle Management for Process, així com accés no autoritzat a dades crítiques o accés complet a totes les dades accessibles d’Oracle Agile Product Lifecycle Management for Process.

• • CVE-2024-21082: Vulnerabilitat en el producte Oracle BI Publisher d’Oracle Analytics (component: XML Services). Una vulnerabilitat fàcilment explotable permet a un atacant no autenticat amb accés a la xarxa a través d’HTTP comprometre Oracle BI Publisher. Els atacs exitosos d’esta vulnerabilitat poden resultar en la presa de control d’Oracle BI Publisher.

• • CVE-2024-21095: Vulnerabilitat en el producte Primavera P6 Enterprise Project Portfolio Management d’Oracle Construction and Engineering (component: Web Access). Una vulnerabilitat fàcilment explotable permet a un atacant no autenticat amb accés a la xarxa a través d’HTTP comprometre Primavera P6 Enterprise Project Portfolio Management. Atacs exitosos d’esta vulnerabilitat poden resultar en accés no autoritzat a dades crítiques o accés complet a totes les dades accessibles de Primavera P6 Enterprise Project Portfolio Management així com accés no autoritzat d’actualització, inserció o esborrament d’algunes de les dades accessibles de Primavera P6 Enterprise Project Portfolio Management.

  • CVE-2024-21007: Vulnerabilitat en el producte Oracle WebLogic Server d’Oracle Fusion Middleware (component: Core). Una vulnerabilitat fàcilment explotable permet a un atacant no autenticat amb accés a la xarxa a través de T3, IIOP comprometre Oracle WebLogic Server. Els atacs exitosos d’esta vulnerabilitat poden resultar en accés no autoritzat a dades crítiques o accés complet a totes les dades accessibles d’Oracle WebLogic Server.

  • CVE-2024-21010: Vulnerabilitat en el producte Oracle Hospitality Simphony d’Oracle Food and Beverage Applications (component: Simphony Enterprise Server). Una vulnerabilitat fàcilment explotable permet a un atacant amb pocs privilegis i accés a la xarxa a través d’HTTP posar en perill Oracle Hospitality Simphony. Encara que la vulnerabilitat es troba en Oracle Hospitality Simphony, els atacs poden afectar significativament productes addicionals (canvi d’abast). Els atacs exitosos d’esta vulnerabilitat poden resultar en la presa de control d’Oracle Hospitality Simphony.

Versions Afectades: 

• • Oracle Hospitality Simphony versiones 19.1.0-19.5.4
  • Oracle WebLogic Server versiones 12.2.1.4.0 y 14.1.1.0.0
  • Primavera P6 Enterprise Project Portfolio Management versiones 19.12.0-19.12.22, 20.12.0-20.12.21, 21.12.0-21.12.18, 22.12.0-22.12.12 y 23.12.0-23.12.2
  • Oracle BI Publisher versiones 7.0.0.0.0 y 12.2.1.4.0.
  • Oracle Agile Product Lifecycle Management for Process versiones 6.2.4.2
  • Oracle Workflow versiones 12.2.3-12.2.13

Recomanacions:

Actualitze segons les instruccions especificades per Oracle per a cada un dels seus productes..

Referències:

https://www.oracle.com/security-alerts/cpuapr2024.html
https://nvd.nist.gov/vuln/detail/CVE-2024-21010
https://nvd.nist.gov/vuln/detail/CVE-2024-21007
https://nvd.nist.gov/vuln/detail/CVE-2024-21095
https://nvd.nist.gov/vuln/detail/CVE-2024-21082
https://nvd.nist.gov/vuln/detail/CVE-2024-21092
https://nvd.nist.gov/vuln/detail/CVE-2024-21071

Microsoft ha publicat actualitzacions de seguretat per al mes d’abril de 2024 per a corregir 149 vulnerabilitats, dos de les quals han sigut explotades activament en la naturalesa.

Anàlisi

Dels 149 defectes, tres estan classificats com a crítics, 142 com a importants, tres com a moderats i un com de gravetat baixa. D’entre totes les vulnerabilitats, es destaquen les següents:

• • CVE-2024-26234 (puntuació CVSS: 6,7): vulnerabilitat de suplantació d’identitat del controlador Proxy.
    
  • CVE-2024-29988 (puntuació CVSS: 8,8): vulnerabilitat d’omissió de funció de seguretat de sol·licitud de SmartScreen.
    
  • CVE-2024-29990 (puntuació CVSS: 9,0), vulnerabilitat d’elevació de privilegis que afecta el contenidor confidencial del servici Microsoft Azure Kubernetes i que podria ser explotada per atacants no autenticats per a robar credencials.
    

Recomanacions

Actualitzar a les últimes versions publicades per Microsoft.

Referències

https://thehackernews-com.translate.goog/2024/04/microsoft-fixes-149-flaws-in-huge-april.html?_x_tr_sl=auto&_x_tr_tl=es&_x_tr_hl=es

Cisco advertix sobre una fallada de seqüències de comandaments entre llocs (XSS) en els encaminadors RV016, RV042, RV042G, RV082, RV320 i RV325 per a xicotetes empreses.

Anàlisi

El problema de gravetat mitjana, registrat com a CVE-2024-20362 (puntuació CVSS 6.1), residix en la interfície d’administració basada en web dels encaminadors Cisco Small Business RV016, RV042, RV042G, RV082, RV320 i RV325. Un atacant remot no autenticat pot realitzar un atac de seqüències de comandaments entre llocs (XSS) contra un usuari de la interfície.
Els dispositius afectats són encaminadors per a xicotetes empreses de la sèrie RV al final de la seua vida útil (EoL) i que la companyia no llançarà actualitzacions de programari per a solucionar el problema. No hi ha solucions alternatives que aborden esta vulnerabilitat.

Recursos afectats

La fallada afecta totes les versions de programari per als següents encaminadors per a xicotetes empreses de la sèrie Cisco RV:

◦ Encaminadors VPN multiWAN RV016
◦ Encaminadors VPN WAN duals RV042
◦ Encaminadors VPN WAN Gigabit duals RV042G
◦ Encaminadors VPN WAN duals RV082
◦ Encaminadors VPN WAN Gigabit duals RV320
◦ Encaminadors VPN WAN Gigabit duals RV325

Recomanacions

Per a mitigar esta vulnerabilitat en els encaminadors Cisco Small Business RV320 i RV325, l’empresa recomana desactivar l’administració remota.
Per a mitigar esta vulnerabilitat en els encaminadors Cisco Small Business RV016, RV042, RV042G i RV082, la companyia recomana deshabilitar l’administració remota i bloquejar l’accés als ports 443 i 60443. Els encaminadors continuaran sent accessibles a través de la interfície LAN després d’implementar la mitigació.
Cisco no té coneixement d’atacs que exploten esta vulnerabilitat, per la qual cosa l’empresa insta els clients a migrar a un producte compatible.

Referències

https://securityaffairs.com/161540/security/cisco-eof-routers-xss.htm

El dia 4 d’abril es va publicar una vulnerabilitat en la implementació que fan del protocol HTTP/2 diversos projectes de servidors web que podria usar-se per a bloquejar un equip i per això ser utilitzat per a una denegació de servici (Dos).

Anàlisi

HTTP/2 utilitza camps d’encapçalament en els missatges de sol·licitud i resposta HTTP. Els camps d’encapçalament poden incloure llistes d’encapçalaments, que al seu torn es dividixen en blocs d’encapçalaments. Estos blocs d’encapçalament es transmeten en múltiples fragments a la implementació de destinació. Les trames HTTP/2 CONTINUATION s’utilitzen per a continuar una seqüència de fragments de blocs de camps. S’utilitzen per a dividir blocs d’encapçalament en múltiples trames. Els altres dos tipus de fragments de blocs d’encapçalament són HEADERS o PUSH_PROMISE. Les trames CONTINUATION poden utilitzar-se per a continuar un fragment de bloc de capçalera que no va poder ser transmés per les trames HEADERS o PUSH_PROMISE. Un bloc de capçalera es considera completat quan el servidor rep un indicador de seguiment (flag) END_HEADERS establit. Amb això es pretén indicar que no hi ha més trames CONTINUATION, HEADERS o PUSH_PROMISE. S’ha descobert una vulnerabilitat en diverses implementacions que no limiten la quantitat de trames CONTINUATION que es poden enviar dins d’un mateix flux de dades.

La implementació continuarà rebent trames mentre no s’active indicador de seguiment END_HEADERS durant estes comunicacions. Un atacant pot inicialitzar una connexió a un servidor amb trames HTTP/2 típiques i després rebre trames inicials del servidor. L’atacant pot llavors començar una petició HTTP sense indicadors de seguiment END_HEADERS establits. Això pot permetre a un atacant enviar un flux de trames CONTINUATION al servidor de destinació, la qual cosa pot provocar un bloqueig per falta de memòria, i permetre a un atacant llançar un atac de denegació de servici (Dos) contra un servidor de destinació que utilitze una implementació vulnerable.

A més, un atacant pot enviar trames CONTINUATION codificades amb HPACK Huffman a una implementació de destinació. Això pot causar l’esgotament dels recursos de la CPU i donar lloc a una denegació de servici, ja que la CPU ha de descodificar cada trama codificada que rep.

Ara com ara, s’ha observat que els següents productes s’han vist afectats per esta vulnerabilitat en la seua implementació d’HTTP/2:

 – amphp/http (CVE-2024-2653) 

 – Apatxe HTTP Server (CVE-2024-27316) 

 – Apatxe Tomcat (CVE-2024-24549) 

 – Apatxe Traffic Server (CVE-2024-31309) 

 – Envoy proxy (CVE-2024-27919 i CVE-2024-30255) 

 – Golang (CVE-2023-45288) 

 – h2 Rust crate, nghttp2 (CVE-2024-28182) 

 – Node. js (CVE-2024-27983) 

 – Tempesta FW (CVE-2024-2758) 

Recomanacions

Es recomana revisar les últimes actualitzacions publicades per als productes afectats i que s’actualitze el programari a l’última versió per a mitigar les possibles amenaces.

En cas  que no s’hagen publicat actualitzacions per al producte afectat, com a mitigació de la vulnerabilitat, s’aconsella considerar la desactivació temporal d’HTTP/2 en el servidor.

Referències

https://kb.cert.org/vuls/id/421644

https://thehackernews.com/2024/04/new-http2-vulnerability-exposes-web.html