Hui hem emés un nou butlletí mensual amb molts consells sobre ciberseguretat.
Tots els subscriptors del butlletí mensual del CSIRT-CV han rebut l’últim exemplar en els seus correus.
Si voleu ser dels primers a rebre la nostra publicació, podeu subscriure-us ací o, si preferiu llegir-ho en la nostra pàgina podeu fer-ho des d’aquest enllaç.
INTRODUCCIÓN
Google ha asignado un nuevo identificador CVE para una vulnerabilidad en la biblioteca de imágenes libwebp, utilizada para renderizar imágenes en formato WebP, que ha sido vista explotada activamente. La vulnerabilidad, identificada como CVE-2023-5129, ha sido calificada con la máxima puntuación de gravedad (10.0) en el sistema de calificación CVSS.
ANÁLISIS
La vulnerabilidad permite que, mediante un archivo WebP especialmente diseñado, la biblioteca libwebp escriba datos fuera de los límites de la memoria, lo que podría llevar a problemas de seguridad graves. Esta vulnerabilidad se basa en un problema relacionado con el algoritmo de codificación Huffman.
RECOMENDACIONES
Por el momento no se ha generado ningún parche para mitigar dicha vulnerabilidad, desde el CSIRT-CV se generará una nueva CAT cuando haya actualización al respecto.
Mantener los sistemas actualizados es esencial para la seguridad de las empresas, una mala planificación de las actualizaciones podría suponer un peligro. Además, tener un plan de actuación frente a incidentes puede minimizar el impacto de un ciberataque.
RECURSOS AFECTADOS
Libwebp Image Library
REFERENCIAS
[1] https://nvd.nist.gov/vuln/detail/CVE-2023-5129
[2] https://chromium.googlesource.com/webm/libwebp/+/2af26267cdfcb63a88e5c74a85927a12d6ca1d76
L’investigador Yuval Gordon, CPS Research, Microsoft Threat Intelligence Community i el propi fabricant Rockwell Automation han reportat 7 vulnerabilitats: 3 de severitat crítica i 4 altes, l’explotació de les quals podria permetre l’execució de codi remot, corrupció de memòria mitjançant un HTML maliciós i omissió de mesures de seguretat.
Anàlisi
Les vulnerabilitats de severitat crítica es descriuen a continuació:
Recomanacions
Referències
[1] Rockwell Automation Select Logix Communication ModulesApple ha publicat una altra ronda de pegats de seguretat per a solucionar tres fallades de Zero-day activament explotats que afecten iOS, iPadOS, macOS, watchOS i Safari, amb el que el nombre total de fallades de Zero-day descoberts en el seu programari enguany ascendeix a 16.
La llista de vulnerabilitats de seguretat és la següent
• CVE-2023-41991 – Un problema de validació de certificats en el marc de seguretat que podria permetre a una aplicació maliciosa eludir la validació de signatures.
• CVE-2023-41992 – Una fallada de seguretat en el Kernel que podria permetre a un atacant local elevar els seus privilegis.
• CVE-2023-41993 – Una fallada de WebKit que podria donar lloc a l’execució de codi arbitrari en processar contingut web especialment dissenyat.
Apple no va proporcionar més detalls, excepte el reconeixement que el “problema pot haver sigut explotat activament contra versions de iOS anteriors a iOS 16.7”.
Recursos afectats
Versions de iOS anteriors a iOS 16.
Recomanacions
Les actualitzacions estan disponibles per als dispositius i sistemes operatius següents.
• iOS 16.7 i iPadOS 16.7 – iPhone 8 i posteriors, iPad Pro (tots els models), iPad Air de 3a generació i posteriors, iPad de 5a generació i posteriors, i iPad mini de 5a generació i posteriors.
• iOS 17.0.1 i iPadOS 17.0.1 – iPhone XS i posteriors, iPad Pro de 12,9 polzades de segona generació i posteriors, iPad Pro de 10,5 polzades, iPad Pro d’11 polzades de primera generació i posteriors, iPad Air de tercera generació i posteriors, iPad de sisena generació i posteriors, iPad mini de cinquena generació i posteriors
• macOS Monterey 12.7 i macOS Ventura 13.6
• watchOS 9.6.3 i watchOS 10.0.1 – Apple Watch Sèries 4 i posteriors
• Safari 16.6.1 – macOS Big Sud i macOS Monterey
Referències
