Author: Seguridad CSIRT-CV

Cisco advertix sobre una fallada de seqüències de comandaments entre llocs (XSS) en els encaminadors RV016, RV042, RV042G, RV082, RV320 i RV325 per a xicotetes empreses.

Anàlisi

El problema de gravetat mitjana, registrat com a CVE-2024-20362 (puntuació CVSS 6.1), residix en la interfície d’administració basada en web dels encaminadors Cisco Small Business RV016, RV042, RV042G, RV082, RV320 i RV325. Un atacant remot no autenticat pot realitzar un atac de seqüències de comandaments entre llocs (XSS) contra un usuari de la interfície.
Els dispositius afectats són encaminadors per a xicotetes empreses de la sèrie RV al final de la seua vida útil (EoL) i que la companyia no llançarà actualitzacions de programari per a solucionar el problema. No hi ha solucions alternatives que aborden esta vulnerabilitat.

Recursos afectats

La fallada afecta totes les versions de programari per als següents encaminadors per a xicotetes empreses de la sèrie Cisco RV:

◦ Encaminadors VPN multiWAN RV016
◦ Encaminadors VPN WAN duals RV042
◦ Encaminadors VPN WAN Gigabit duals RV042G
◦ Encaminadors VPN WAN duals RV082
◦ Encaminadors VPN WAN Gigabit duals RV320
◦ Encaminadors VPN WAN Gigabit duals RV325

Recomanacions

Per a mitigar esta vulnerabilitat en els encaminadors Cisco Small Business RV320 i RV325, l’empresa recomana desactivar l’administració remota.
Per a mitigar esta vulnerabilitat en els encaminadors Cisco Small Business RV016, RV042, RV042G i RV082, la companyia recomana deshabilitar l’administració remota i bloquejar l’accés als ports 443 i 60443. Els encaminadors continuaran sent accessibles a través de la interfície LAN després d’implementar la mitigació.
Cisco no té coneixement d’atacs que exploten esta vulnerabilitat, per la qual cosa l’empresa insta els clients a migrar a un producte compatible.

Referències

https://securityaffairs.com/161540/security/cisco-eof-routers-xss.htm

El dia 4 d’abril es va publicar una vulnerabilitat en la implementació que fan del protocol HTTP/2 diversos projectes de servidors web que podria usar-se per a bloquejar un equip i per això ser utilitzat per a una denegació de servici (Dos).

Anàlisi

HTTP/2 utilitza camps d’encapçalament en els missatges de sol·licitud i resposta HTTP. Els camps d’encapçalament poden incloure llistes d’encapçalaments, que al seu torn es dividixen en blocs d’encapçalaments. Estos blocs d’encapçalament es transmeten en múltiples fragments a la implementació de destinació. Les trames HTTP/2 CONTINUATION s’utilitzen per a continuar una seqüència de fragments de blocs de camps. S’utilitzen per a dividir blocs d’encapçalament en múltiples trames. Els altres dos tipus de fragments de blocs d’encapçalament són HEADERS o PUSH_PROMISE. Les trames CONTINUATION poden utilitzar-se per a continuar un fragment de bloc de capçalera que no va poder ser transmés per les trames HEADERS o PUSH_PROMISE. Un bloc de capçalera es considera completat quan el servidor rep un indicador de seguiment (flag) END_HEADERS establit. Amb això es pretén indicar que no hi ha més trames CONTINUATION, HEADERS o PUSH_PROMISE. S’ha descobert una vulnerabilitat en diverses implementacions que no limiten la quantitat de trames CONTINUATION que es poden enviar dins d’un mateix flux de dades.

La implementació continuarà rebent trames mentre no s’active indicador de seguiment END_HEADERS durant estes comunicacions. Un atacant pot inicialitzar una connexió a un servidor amb trames HTTP/2 típiques i després rebre trames inicials del servidor. L’atacant pot llavors començar una petició HTTP sense indicadors de seguiment END_HEADERS establits. Això pot permetre a un atacant enviar un flux de trames CONTINUATION al servidor de destinació, la qual cosa pot provocar un bloqueig per falta de memòria, i permetre a un atacant llançar un atac de denegació de servici (Dos) contra un servidor de destinació que utilitze una implementació vulnerable.

A més, un atacant pot enviar trames CONTINUATION codificades amb HPACK Huffman a una implementació de destinació. Això pot causar l’esgotament dels recursos de la CPU i donar lloc a una denegació de servici, ja que la CPU ha de descodificar cada trama codificada que rep.

Ara com ara, s’ha observat que els següents productes s’han vist afectats per esta vulnerabilitat en la seua implementació d’HTTP/2:

 – amphp/http (CVE-2024-2653) 

 – Apatxe HTTP Server (CVE-2024-27316) 

 – Apatxe Tomcat (CVE-2024-24549) 

 – Apatxe Traffic Server (CVE-2024-31309) 

 – Envoy proxy (CVE-2024-27919 i CVE-2024-30255) 

 – Golang (CVE-2023-45288) 

 – h2 Rust crate, nghttp2 (CVE-2024-28182) 

 – Node. js (CVE-2024-27983) 

 – Tempesta FW (CVE-2024-2758) 

Recomanacions

Es recomana revisar les últimes actualitzacions publicades per als productes afectats i que s’actualitze el programari a l’última versió per a mitigar les possibles amenaces.

En cas  que no s’hagen publicat actualitzacions per al producte afectat, com a mitigació de la vulnerabilitat, s’aconsella considerar la desactivació temporal d’HTTP/2 en el servidor.

Referències

https://kb.cert.org/vuls/id/421644

https://thehackernews.com/2024/04/new-http2-vulnerability-exposes-web.html

El passat dia 25 de març es va publicar una vulnerabilitat crítica d’injecció SQL en el connector LayerSlider que pot ser explotada per a extraure informació sensible de les bases de dades d’un lloc web.

Este connector de controls lliscant (sliders) per a WordPress amb més d’un milió d’instal·lacions actives, oferix als usuaris funcions d’edició visual de continguts web, efectes visuals digitals i disseny gràfic en una única solució.

Anàlisi

CVE-2024-2879 (CVSS 9.8 Crítica): El connector LayerSlider per a WordPress és vulnerable a la injecció SQL a través de l’acció ls_get_popup_markup en les versions 7.9.11 i 7.10.0 a causa d’una fuga insuficient en el paràmetre subministrat per l’usuari i a la falta de preparació suficient en la consulta SQL existent. Això fa possible que atacants no autenticats afigen consultes SQL addicionals a consultes ja existents que poden ser utilitzades per a extraure informació sensible de la base de dades.

Recomanacions

Es recomana actualitzar a la versió 7.10.1 del connector LayerSlider en la qual se soluciona la vulnerabilitat reportada.

Referències

https://www.wordfence.com/blog/2024/04/5500-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-layerslider-wordpress-plugin/

https://www.cve.org/CVERecord?id=CVE-2024-2879

https://thehackernews.com/2024/04/critical-security-flaw-found-in-popular.html