CSIRT-CV publica un nou curs sobre el gestor de contrasenyes: KeePass

El primer dijous de cada mes de maig se celebra a nivell mundial el Dia de la Contrasenya. Una data celebrada per ens públics i privats amb l’objectiu de conscienciar a la població sobre la importància de protegir les nostres dades. Protegir i blindar la nostra informació suposa minimitzar i evitar ciberatacs que pogueren comprometre informació sensible com són les nostres claus d’accés als nostres comptes bancaris.

 

Per este motiu, des de CSIRT-CV hem publicat un nou curs en línia d’una hora de duració sobre un dels gestors gratuïts de contrasenyes a l’abast de qualsevol usuari: KeePass.

 

KeePass és una ferramenta segura, de codi obert i multiplataforma, que està disponible per a Windows i Linux.

 

Esta ferramenta millora la seguretat en les contrasenyes en generar una nova contrasenya per a cada compte de qualsevol aplicació de més de 20 caràcters que l’usuari ingresse.

 

Una altra dels avantatges dels gestors en general és que tan sols és necessari recordar la contrasenya mestra del programa.

 

A més, cal tindre en compte que KeePass guarda la base de dades o contrasenyes en local, per la qual cosa si es desitja accedir des d’altres equips o dispositius és necessari copiar-la i emmagatzemar-la ja siga en USB o el núvol per a després poder accedir a través de la ferramenta i la contrasenya d’accés.

 

Descobrix tots els avantatges que este gestor de contrasenyes aporta en el teu dia a dia, tant a nivell personal com laboral, i garantix la seguretat de la teua informació amb este curs de KeePass elaborat per CSIRT-CV.

Publicació butlletí mensual

Hui hem emés un nou butlletí mensual amb molts consells sobre ciberseguretat.

Tots els subscriptors del butlletí mensual del CSIRT-CV han rebut l’últim exemplar en els seus correus.

Si voleu ser dels primers a rebre la nostra publicació, podeu subscriure-us ací o, si preferiu llegir-ho en la nostra pàgina podeu fer-ho des d’este enllaç.

Diverses vulnerabilitats en connectors de WordPress

S’han detectat diverses vulnerabilitats en connectors de WordPress.

Anàlisi

El connector Customer Email Verification for WooCommerce per a WordPress és vulnerable a Email Verification and Authentication Bypass en totes les versions fins a, i incloent, 2.7.4 a través de l’ús d’un codi d’activació insuficientment aleatori.

    • CVE-2024-4185: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:O/C:H/I:H/A:H

El connector ZD YouTube FLV Player per a WordPress és vulnerable a Server-Side Request Forgery en totes les versions fins a, i incloent, l’1.2.6 a través del paràmetre $_GET[‘image’].

    • CVE-2024-2663: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

El connector ACF Front End Editor per a WordPress és vulnerable a la modificació no autoritzada de dades a causa d’una falta de comprovació de capacitat en la funció update_texts() en totes les versions fins a la 2.0.2, inclusivament.

    • CVE-2024-3072: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:O/C:N/I:L/A:N

 

Recursos afectats

Per al connector WooCommerce: versions anteriors a la 2.7.4, inclusivament.

Per al connector ZD YouTube FLV Player: versions anteriors a la 1.2.6, inclusivament.

Per al connector ACF Front End Editor: versions anteriors a la 2.0.2, inclusivament.

 

Recomanacions

Per al connector WooCommerce: actualitzar a la versió més recent 2.7.5.

Per al connector ZD YouTube FLV Player: de moment no hi ha solució.

Per al connector ACF Front End Editor: de moment no hi ha solució.

 

Referències

Vulnerabilitat en Google Doc Embedder per a WordPress

S’ha detectat una vulnerabilitat en el connector Google Doc Embedder per a WordPress en versions fins a la 2.6.4 inclusivament.

Anàlisi

El connector Google Doc Embedder per a WordPress és vulnerable a la falsificació de petició del costat del servidor a través del shortcode ‘gview’ en versions fins a la 2.6.4 inclusivament.

Això pot permetre a atacants autenticats amb permisos de nivell de col·laborador o superior realitzar peticions web a ubicacions arbitràries originades des de l’aplicació web i pot utilitzar-se per a consultar i modificar informació de servicis interns.

Se li ha assignat CVE-2024-0216

Recursos afectats

Versions anteriors a la 2.6.4, inclusivament.

Recomanacions

No es coneix cap pedaç disponible, com a recomanació es pot desinstal·lar el programari afectat i buscar-ne un substitut.

Referències