Reunimos en una misma página todas las noticias más importantes de NextVision, incluyendo el contenido de los comunicados de prensa, artículos de Ciberseguridad, investigaciones, novedades de nuestro equipo NV y mucho más!
La ciberseguridad se ha convertido en una de las mayores preocupaciones de las juntas directivas de las organizaciones. Debido a la pandemia ocasionada por el Covid-19, y a la acelerada transformación digital que trajo aparejada, nuevos riesgos y brechas de seguridad han surgido.
El nuevo paradigma establecido por la actual normalidad de “teletrabajo” o “trabajo híbrido” ha ocasionado que todas las organizaciones deban desarrollar o establecer una postura defensiva en ciberseguridad para evitar o minimizar los ciberataques que pueda sufrir su organización.
¿Cuáles son algunas de las tendencias en ciberseguridad para este 2022?
1- Red/malla de ciberseguridad: una red de ciberseguridad permitirá desplegar las herramientas de ciberseguridad donde más se necesiten.
Debido a la acelerada digitalización de los negocios, la ciberseguridad de las empresas necesita estar en constante transformación y adaptación a las nuevas tecnologías. Esto requiere soluciones de ciberseguridad flexibles y ágiles que permitan a la organización avanzar hacia el futuro de manera segura.
2- Intensificación de las medidas de seguridad en las empresas:
Debido al aumento de ataques, a las nuevas brechas de ciberseguridad a partir del traspaso de las oficinas a las casas, y a la cada vez más frecuente paralización de la actividad en las organizaciones por motivos de ciberseguridad, los directivos al mando de las organizaciones están desarrollando estrategias a través de expertos y especialistas en la materia. Esto produce que los controles de seguridad sean intensificados. La detección de los riesgos, su análisis y posterior estrategia de mitigación, mediante la incorporación de un servicio como NVPlan Director de Seguridad, incentivará a tu organización a llegar a una situación ideal de control de la ciberseguridad.
3- Autenticación como medida de ciberseguridad:
El teletrabajo o trabajo híbrido y la migración a aplicaciones en la nube han consolidado la tendencia en ciberseguridad actual de autenticación y establecimiento de usuario y contraseña como medida principal de seguridad. La verificación de la identidad no es una medida nueva pero adquiere especial importancia a partir de que los atacantes comienzan a apuntar con sus ataques a estos procesos y herramientas de acceso. El servicio de NV Awarenessnos permite inculcar en los empleados de nuestra organización una concienciación y formación técnica en el cuidado de la información sensible y el uso de sus habituales herramientas digitales para evitar que caigan en este tipo de ciberfraudes.
4- Las contraseñas inseguras son actualmente la principal brecha explotada en los ataques:
Los ciberdelincuentes están atacando directamente las infraestructuras de identidad de las instituciones y organizaciones públicas/estatales para el robo de información sensible. La multi-verificación de identidad está creciendo como una solución a esta brecha de seguridad pero no debería ser la única medida a establecer. Los factores de autenticación deben estar debidamente configurados, mantenidos y monitorizados para que sean totalmente efectivos.
5- Análisis y gestión del ciberriesgo de terceras partes y proveedores:
La consolidación de la estrategia de seguridad en nuestros vendors es una pieza clave en el sistema de ciberseguridad de cualquier empresa. Cada vez se conocen más noticias de grandes empresas que han sido vulneradas a través de brechas de seguridad de sus vendors. Saber si las terceras partes que conforman nuestra cadena de valor son seguras es sumamente importante, ya que forman parte de nuestra superficie de ataque. Disponer de un servicio en tu organización como NV Vendor Risk Management, te permitirá automatizar procesos de manera segura con tus proveedores y gestionarlos eficientemente. Además, detectará brechas de seguridad en vuestras relaciones.
6- La gestión de identidad de las máquinas:
A medida que avanza la transformación digital, crece exponencialmente la incorporación de entidades artificiales que componen las aplicaciones modernas. Por lo tanto, la gestión de identidad de las máquinas se ha convertido en una parte crucial de las operaciones de ciberseguridad.
Todas las aplicaciones modernas se componen de servicios que están conectados por API. Los atacantes pueden usar el acceso API de sus proveedores a datos sensibles. Las herramientas y técnicas para la administración de identidades de máquinas en toda la empresa aún están en pleno desarrollo. Sin embargo, una estrategia para administrar las identidades, los certificados y la información contenida en estas máquinas, permitirá que su organización asegure eficazmente su transformación digital.
7- Simulación de brechas y ataques: un método para validar el nivel de seguridad de las organizaciones.
El continuo testeo y validación de los controles de seguridad ayudará a verificar el sistema de seguridad de una empresa frente a los potenciales ciberataques. Los ataques de ingeniería social como el phishing y el ransomware ponen en constante riesgo los datos e información sensible de las empresas por lo que deben ser un foco de constante verificación de los sistemas de ciberseguridad frente a ellos ya que los cibercriminales aprovechan que es más fácil vulnerar a las personas para obtener información de las empresas que intentando atacar los sistemas o tecnologías. Un servicio de Awareness con un programa único e integral que guía a la organización con estrategias que incluyan la educación y transformación de los hábitos de los empleados es fundamental para combatirlos.
8- Técnicas de privacidad y protección de datos en uso:
Las técnicas informáticas que mejoran la privacidad y que protegen los datos mientras se utilizan, a diferencia de cuando están en reposo, permiten el procesamiento seguro de datos, el intercambio, las transferencias transfronterizas y el análisis, incluso en entornos no confiables.
Esta tecnología se está transformando rápidamente de la investigación académica a proyectos reales, lo que permite nuevas formas de uso compartido de datos e información sensible con un riesgo reducido de filtraciones.
Pero,¿cuáles son exactamente estos ataques a los que nos enfrentamos?
Según FortiGuard Labs, en 2022 los ciberdelincuentes estarán más activos que nunca con los ataques ransomware.
Las amenazas continuarán apuntando hacia toda la superficie de ataque de manera que los equipos de seguridad deberán luchar y asegurar todas las vías de entrada posibles, especialmente a medida que estas mismas organizaciones hagan la transición a los entornos de trabajo híbridos, es decir, al teletrabajo.
Nuevos ataques:
Estrategias de planificación, desarrollo y armamentismo:se cree que los ciberatacantes dedicarán mayor esfuerzo al estudio, al reconocimiento y al descubrimiento de brechas de seguridad y nuevas herramientas mediante las cuales atacar.
Nuevos vectores de ataque: Afectan a plataformas como Linux, que hasta ahora no habían sido un blanco de ataque principal para los ciberdelincuentes pero que han empezado a sufrir ciberataques como Vermilion Strike,que ataca con capacidades de acceso remoto sin ser detectado.
Ataques dirigidos a sistemas de tecnología operativa (OT): debido a la convergencia de las redes IT y OT se han producido nuevos ataques dirigidos a estas a través de redes domésticas comprometidas y de los dispositivos de los trabajadores en remoto. Anteriormente se trataban de ataques llevados a cabo por ciberdelincuentes muy especializados pero actualmente existen kits de ataque disponibles para utilizarlos en la web oscura.
Nuevos ataques “Living off the hand”: se trata de ataques que no necesitan desarrollar archivos maliciosos desde cero. Por el contrario, aprovechan las puertas de entrada que ya existen en los sistemas informáticos a través de la infraestructura de las organizaciones, accediendo a programas confiables, que no despertarían ninguna sospecha, introduciendo en ellos códigos maliciosos. Este malware conseguirá eludir los sistemas de protección tradicional y luego robará sistemas, aplicaciones e información crítica mientras evita la detección.
En consideración de todas estas cuestiones, recomendamos un enfoque holístico e integrado de los sistemas de ciberseguridad para protegerse ante esta nueva oleada de ataques. Es fundamental implementar una estrategia unificada de seguimiento en las organizaciones para proteger los datos, la información y las transacciones de principio a fin.
Una administración centralizada de la ciberseguridad permitirá garantizar la aplicación de las políticas de seguridad, que las configuraciones y actualizaciones de los sistemas se lleven a cabo en los plazos establecidos y por último, que los eventos sospechosos que puedan surgir en cualquier parte de la red de la organización se detecten y recopilen de manera organizada y centralizada.
Las ciberamenazas parecen estar en plena aceleración por lo que, si los sistemas y herramientas de ciberseguridad no están actualizados y listos para proteger a su organización de las próximas generaciones de amenazas que surgen constantemente, puede ser demasiado tarde para implementar una solución.
Como hemos visto a lo largo de este artículo, en NextVision, un servicio de Awareness te permitirá una organización cibersegura y protegida mediante la educación de tus empleados en el uso de la tecnología y el cuidado de la información para evitar estos nuevos métodos de ciberataques; un servicio de VRM (Vendor Risk Management) ayudará a consolidar tu sistema de ciberseguridad mediante el control de tus proveedores/vendor y además, con tu servicio de Plan Director de Seguridad podrás desarrollar planes estratégicos de ciberseguridad creados en función de los objetivos de tu organización, que te permitan definir y priorizar los proyectos de seguridad a fin de anticipar y reducir los riesgos a los que tu empresa está expuesta. Para más información contacta con nosotros: info@nextvision.com
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos:Crítico, Alto, Medio y Bajo.
• GRAVEDAD: 9.8
• CVES RELACIONADOS: N/A
• FECHA DIVULGACIÓN: 21/01/2022
• ACTUALIZACIÓN: 26/01/2022
• RESUMEN: Vulnerabilidad de inyección SQL en Sourcecodester Budget and Expense Tracker System v1 de oretnom23
• PRODUCTO AFECTADO: Sourcecodester Budget and Expense Tracker System v1
• CAUSAS: Inyección SQL.
• CONSECUENCIAS: Un atacante podría ejecutar comandos SQL arbitrarios a través del campo de nombre de usuario.
• RESUMEN: La vulnerabilidad existe dentro del Endpoint Agent. La vulnerabilidad de Resolución de enlace incorrecta antes del acceso al archivo ("Seguimiento de enlace") en el componente EPAG de Bitdefender Endpoint Security Tools para Windows.
• PRODUCTO AFECTADO: Versión anterior a 7.1.2.33 Endpoint Security Tools for Windows
• CAUSAS: Denegación de servicio.
• CONSECUENCIAS: Un atacante podría crear de manera local una condición de denegación de servicio en las instalaciones afectadas de Bitdefender GravityZone. Un atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar esta vulnerabilidad.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Medio - Disponibilidad: Alto
• MITIGACIÓN: Se recomienda actualizar a la version mas reciente.
• RESUMEN: La vulnerabilidad existe debido a una validación de entrada incorrecta dentro del componente Pipeline Manager en Oracle Communications Billing and Revenue Management.
• PRODUCTO AFECTADO: Version 12.0.0.3.
Versión 12.0.0.4.
• CAUSAS: Ejecución de código remoto
• CONSECUENCIAS: Un atacante no autenticado con acceso a la red a través de HTTP comprometa Oracle Communications Billing and Revenue Management.
• RESUMEN: La vulnerabilidad existe dentro de la implementación del servidor TFTP. El problema se debe a la falta de validación adecuada de una ruta proporcionada por el usuario antes de usarla en las operaciones con archivos.
• PRODUCTO AFECTADO: Versiones anteriores a la 6.1.32.
• CAUSAS: Acceso no autorizado
• CONSECUENCIAS: Un atacante loca podría divulgar información confidencial sobre las instalaciones afectadas de Oracle VirtualBox. Un atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema huésped de destino para aprovechar esta vulnerabilidad.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Bajo - Disponibilidad: Bajo
• MITIGACIÓN: Se recomienda actualizar a la versión mas reciente.
• RESUMEN: La vulnerabilidad está en la falta de validación al procesar solicitudes AJAX, permitiendo al atacante actualizar la opción “user_can_register” y configurar la opción “default_role” a administrador.
• CAUSAS: Falsificación de solicitud entre sitios (CSRF)
• CONSECUENCIAS: Un atacante podría actualizar opciones arbitrarias en un sitio que se puede usar para crear una cuenta de usuario administrativo y otorgar acceso privilegiado completo a un sitio comprometido
• RESUMEN: La vulnerabilidad se encuentra relacionada a una función desconocida dentro del código de la aplicación afectada por desbordamiento de búfer a través de la manipulación de un input desconocido.
• PRODUCTO AFECTADO: Zoom Client for Meetings (for Android, iOS, Linux, macOS, and Windows) before version 5.8.4
Zoom Client for Meetings for Blackberry (for Android and iOS) before version 5.8.1
Zoom Client for Meetings for intune (for Android and iOS) before version 5.8.4
Zoom Client for Meetings for Chrome OS before version 5.0.1
Zoom Rooms for Conference Room (for Android, AndroidBali, macOS, and Windows) before version 5.8.3
Controllers for Zoom Rooms (for Android, iOS, and Windows) before version 5.8.3
Zoom VDI Windows Meeting Client before version 5.8.4
Zoom VDI Azure Virtual Desktop Plugins (for Windows x86 or x64, IGEL x64, Ubuntu x64, HP ThinPro OS x64) before version 5.8.4.21112
Zoom VDI Citrix Plugins (for Windows x86 or x64, Mac Universal Installer & Uninstaller, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) before version 5.8.4.21112
Zoom VDI VMware Plugins (for Windows x86 or x64, Mac Universal Installer & Uninstaller, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) before version 5.8.4.21112
Zoom Meeting SDK for Android before version 5.7.6.1922
Zoom Meeting SDK for iOS before version 5.7.6.1082
Zoom Meeting SDK for macOS before version 5.7.6.1340
Zoom Meeting SDK for Windows before version 5.7.6.1081
Zoom Video SDK (for Android, iOS, macOS, and Windows) before version 1.1.2
Zoom On-Premise Meeting Connector Controller before version 4.8.12.20211115
Zoom On-Premise Meeting Connector MMR before version 4.8.12.20211115
Zoom On-Premise Recording Connector before version 5.1.0.65.20211116
Zoom On-Premise Virtual Room Connector before version 4.4.7266.20211117
Zoom On-Premise Virtual Room Connector Load Balancer before version 2.5.5692.20211117
Zoom Hybrid Zproxy before version 1.0.1058.20211116
Zoom Hybrid MMR before version 4.6.20211116.131_x86-64
• CAUSAS: Desbordamiento de búfer.
• CONSECUENCIAS: Un atacante podría ejecutar código remoto en los equipos clientes a través de la explotación de un desbordamiento del buffer de los clientes de videoconferencia de Zoom.
• RESUMEN: La vulnerabilidad se encuentra asociada a una función desconocida dentro del código de la aplicación, cuyo input desconocido es manipulado para realizar escalamiento de privilegios.
• PRODUCTO AFECTADO: Zoom Client for Meetings (para Android, iOS, Linux, macOS y Windows) antes de la versión 5.8.4
Zoom Client for Meetings para Blackberry (para Android e iOS) antes de la versión 5.8.1
Zoom Client for Meetings para Intune (para Android e iOS) antes de la versión 5.8.4
Zoom Client for Meetings para Chrome OS antes de la versión 5.0.1
Zoom Rooms para Conference Room (para Android, AndroidBali, macOS y Windows) antes de la versión 5.8.3
Controladores para Zoom Rooms (para Android, iOS y Windows) antes de la versión 5.8.3
Zoom VDI Windows Meeting Client antes de la versión 5.8.4
Complementos Zoom VDI Azure Virtual Desktop (para Windows x86 o x64, IGEL x64, Ubuntu x64, HP ThinPro OS x64) antes de la versión 5.8.4.21112
Zoom VDI Citrix Plugins (para Windows x86 o x64, Mac Universal Installer & Uninstaller, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) antes de la versión 5.8.4.21112
Zoom VDI VMware Plugins (para Windows x86 o x64, Mac Universal Installer & Uninstaller, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) antes de la versión 5.8.4.21112
Zoom Meeting SDK para Android antes de la versión 5.7.6.1922
Zoom Meeting SDK para iOS antes de la versión 5.7.6.1082
Zoom Meeting SDK para Windows anterior a la versión 5.7.6.1081
Zoom Meeting SDK para Mac antes de la versión 5.7.6.1340
Zoom Video SDK (para Android, iOS, macOS y Windows) antes de la versión 1.1.2
Zoom On-Premise Meeting Connector antes de la versión 4.8.12.20211115
Zoom On-Premise Meeting Connector MMR antes de la versión 4.8.12.20211115
Zoom On-Premise Recording Connector antes de la versión 5.1.0.65.20211116
Zoom On-Premise Virtual Room Connector antes de la versión 4.4.7266.20211117
Zoom On-Premise Virtual Room Connector Load Balancer antes de la versión 2.5.5692.20211117
Zoom Hybrid Zproxy antes de la versión 1.0.1058.20211116
Zoom Hybrid MMR antes de la versión 4.6.20211116.131_x86-64
• CAUSAS: Elevación de privilegios.
Lectura fuera de los limites.
• CONSECUENCIAS: Un atacante podría ejecutar código remoto en los equipos clientes a través de la explotación de la memoria del proceso.
• IMPACTO:
- Confidencialidad: Bajo - Integridad: Bajo - Disponibilidad: Alto
• MITIGACIÓN: La empresa recomienda realizar las actualizaciones que parchean la vulnerabilidad.
• RESUMEN: La vulnerabilidad existe en la pantalla de inicio de sesión web de Serv-U para la autenticación LDAP. Esta permitía caracteres que no estaban suficientemente desinfectados. SolarWinds ha actualizado el mecanismo de entrada para realizar una validación y desinfección adicionales. Tenga en cuenta: no se ha detectado ningún efecto descendente ya que los servidores LDAP ignoraron los caracteres incorrectos.
• PRODUCTO AFECTADO: Serv-U versiones anteriores a la 15.3.
• CAUSAS: Validacion de entrada incorrecta.
• CONSECUENCIAS: Un atacante remoto no autenticado puede enviar una solicitud especialmente diseñada que puede eludir la filtración implementada e influir en la consulta LDAP inicial.
• IMPACTO:
- Confidencialidad: Bajo - Integridad: Alto - Disponibilidad: Medio
• MITIGACIÓN: Se recomienda realizar las actualizaciones pertinentes.
• RESUMEN: La falla específica existe dentro del servicio de control de acceso a la red. El servicio carga un archivo de configuración de OpenSSL desde una ubicación no segura.
• PRODUCTO AFECTADO: FortiClient para MacOS versiones 6.4.3 y anteriores.
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Esta vulnerabilidad permite a los atacantes locales aumentar los privilegios en las instalaciones afectadas de Fortinet FortiClient Network Access Control. Un atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar esta vulnerabilidad.
• RESUMEN: Una vulnerabilidad en la interfaz de administración basada en web de Cisco Unified Contact Center Management Portal (Unified CCMP) y Cisco Unified Contact Center Domain Manager (Unified CCDM) podría permitir que un atacante remoto autenticado eleve sus privilegios a Administrador. Esta vulnerabilidad se debe a la falta de validación del lado del servidor de los permisos de usuario.
• CONSECUENCIAS: Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP manipulada a un sistema vulnerable. Una explotación exitosa podría permitir al atacante crear cuentas de administrador. Con estas cuentas, el atacante podría acceder y modificar la telefonía y los recursos de usuario en todas las plataformas unificadas que están asociadas al Cisco Unified CCMP vulnerable. Para explotar con éxito esta vulnerabilidad, un atacante necesitaría credenciales de usuario avanzado válidas.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Alto - Disponibilidad: Bajo
• MITIGACIÓN: Cisco ha lanzado actualizaciones de software que abordan esta vulnerabilidad. No hay soluciones alternativas que aborden esta vulnerabilidad.
• RESUMEN: La vulnerabilidad existe debido a un error de límite en "SoftwareBus_dispatchNormalEPMsgOut" en el módulo del kernel KCodes NetUSB. Ciertos dispositivos D-Link, Edimax, NETGEAR, TP-Link, Tenda y Western Digital se ven afectados por un desbordamiento de enteros por parte de un atacante no autenticado. No se puede descartar la ejecución remota de código desde la interfaz WAN (puerto TCP 20005); sin embargo, se consideró que la explotabilidad era de "complejidad bastante significativa" pero no "imposible".
• PRODUCTO AFECTADO: D7800 anteriores a 1.0.1.68.
R6400v2 anteriores a 1.0.4.122.
R6700v3 anteriores a 1.0.4.122.
• CAUSAS: Desbordamiento de búfer
• CONSECUENCIAS: Un atacante remoto puede desencadenar la corrupción de la memoria y ejecutar código arbitrario en el sistema de destino.
• RESUMEN: La vulnerabilidad existe debido a una validación insuficiente de la extensión IKE de Windows de entrada proporcionada por el usuario. La vulnerabilidad permite que un atacante remoto realice un ataque de denegación de servicio (DoS).
• PRODUCTO AFECTADO: Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows Server, version 20H2 (Server Core Installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
• CAUSAS: Ejecución de código remoto
• CONSECUENCIAS: Un atacante remoto puede pasar una entrada especialmente diseñada a la aplicación y realizar un ataque de denegación de servicio (DoS).
• RESUMEN: La vulnerabilidad existe debido a un error de límite dentro de la función de soporte de tráiler HTTP en la pila de protocolo HTTP (http.sys).
• PRODUCTO AFECTADO: Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows Server, version 20H2 (Server Core Installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
• CAUSAS: Ejecución de código remoto
• CONSECUENCIAS: Un atacante remoto puede enviar una solicitud HTTP especialmente diseñada al servidor web, desencadenar un desbordamiento de búfer y ejecutar código arbitrario en el sistema.
• RESUMEN: La vulnerabilidad existe dentro del Servicio de escaneo en tiempo real. Al crear un enlace simbólico, un atacante puede abusar del servicio para sobrescribir un archivo.
• PRODUCTO AFECTADO: Trend Micro Apex One (2019, SaaS). Trend Micro Worry-Free Business Security (10.0 SP1,SaaS).
• CAUSAS: Elevación de privilegios.
• CONSECUENCIAS: Un atacante local podría crear un archivo especialmente diseñado con contenido arbitrario que podría otorgar información local. Escalamiento de privilegios en el sistema afectado. Ten en cuenta: Un atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar esta vulnerabilidad.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Medio - Disponibilidad: Medio
• MITIGACIÓN: TrendMicro recomienda aplicar los parches y/o compiaciones correspondientes.
• RESUMEN: La vulnerabilidad existe debido a restricciones de acceso incorrectas. Numerosas funciones peligrosas expuestas dentro de Orion Core permiten la inyección de SQL de solo lectura que conduce en escalar privilegios.
• CONSECUENCIAS: Un atacante con pocos privilegios de usuario puede robar hash de contraseña. Cualquier usuario de Orion, incluida una cuenta de invitado, puede consultar la entidad Orion. UserSettings y enumerar los usuarios y sus configuraciones básicas.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Medio - Disponibilidad: Alto
• MITIGACIÓN: Se recomienda instalar las actualizaciones desde el sitio web del proveedor.
• RESUMEN: La vulnerabilidad existe dentro del componente SCSI. El problema se debe a la falta de una validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos en un búfer basado en el montón de longitud fija. La emulación de dispositivo de CD-ROM en VMware Workstation, Fusion y ESXi tiene una vulnerabilidad de desbordamiento de pila.
• PRODUCTO AFECTADO: VMware ESXi (7.0, 6.7 before ESXi670-202111101-SG and 6.5 before ESXi650-202110101-SG), VMware Workstation (16.2.0) and VMware Fusion (12.2.0).
• CAUSAS: Desbordamiento de búfer basado en Heap.
• CONSECUENCIAS: Un atacante con acceso a una máquina virtual con emulación de dispositivo de CD-ROM puede aprovechar esta vulnerabilidad junto con otros problemas para ejecutar código en el hipervisor desde una máquina virtual.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Alto - Disponibilidad: Medio
• MITIGACIÓN: Se recomienda aplicar los parches correspondientes.
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos:Crítico, Alto, Medio y Bajo.
• GRAVEDAD: 10
• CVES RELACIONADOS: N/A
• FECHA DIVULGACIÓN: 10/12
• ACTUALIZACIÓN: 16/12
• RESUMEN: La vulnerabilidad Log4j se reportó como crítica ya que afecta a la librería de registro Apache Log4j basada en Java. El Zero-Day se encuentra en la librería de registro de Java Log4j (2.0 – 2.14.1) que permite realizar una ejecución remota de código (RCE) al crear un paquete de solicitud de datos.
• PRODUCTO AFECTADO: Apache Log4j, versiones 2.0 a 2.14.1
• CAUSAS: Deserialización de datos que no son de confianza.
Validación de entrada incorrecta.
vConsumo no controlado de recursos.
• CONSECUENCIAS:Un atacante que puede controlar mensajes de registro o parámetros de mensajes de registro puede ejecutar código arbitrario cargado desde servidores LDAP cuando la sustitución de búsqueda de mensajes está habilitada.
• MITIGACIÓN: Los usuarios deben actualizar a Apache Log4j 2.13.2, que soluciona el problema en LOG4J2-2819 al hacer que la configuración de SSL sea configurable para las sesiones de correos SMTPS.
En el caso de versiones anteriores, los usuarios pueden establecer prioridad del sistema mail.smtp.ssl.checkserveridentity en “true” para habilitar la verificación del nombre host SMTPS para todas las sesiones de correos SMTPS.
Por otra parte, los usuarios de Java7+ deben migrar a la versión 2.8.2 o evitar el uso de las claves de servidor de socket.
Los usuarios de Java 6 deben evitar el uso de las clases de servidores socket TCP o UDP.
• RESUMEN: La vulnerabilidad se encontró ya que la corrección para la dirección CVE-2021-44228 en Apache Log4j 2.15.0 estaba incompleta en ciertas configuraciones no predeterminadas. Log4j 2.16.0 (Java 8) y 2.12.2 (Java 7) solucionan este problema al eliminar la compatibilidad con los patrones de búsqueda de mensajes y deshabilitar la funcionalidad JNDI de forma predeterminada.
• PRODUCTO AFECTADO: Apache Log4j, versiones 2.0 beta 9 a 2.12.1 y 2.13.0 a 2.15.0.
• CAUSAS: Denegación de servicio
• CONSECUENCIAS: Un atacante podría controlar los datos de entrada del mapa de contexto de subprocesos (MDC) cuando la configuración de registro utiliza un diseño de patrón no predeterminado con una búsqueda de contexto (por ejemplo, $$ {ctx: loginId}) o un patrón de mapa de contexto de subprocesos ( % X,% mdc o% MDC) para crear datos de entrada maliciosos utilizando un patrón de búsqueda JNDI que da como resultado una fuga de información y la ejecución remota de código en algunos entornos y la ejecución de código local en todos los entornos.
• IMPACTO:
- Confidencialidad: Bajo - Integridad: Alto - Disponibilidad:Alto
• MITIGACIÓN: Se recomienda actualizar a Log4j 2.16.0, ya que soluciona este problema eliminando la compatibilidad con los patrones de búsqueda de mensajes y desactivando la funcionalidad JNDI de forma predeterminada.
• RESUMEN: La vulnerabilidad se encontró en JMSAppender dentro Log4j 1.2 y es vulnerable a la deserialización de datos que no son de confianza cuando el atacante tiene acceso de escritura a la configuración de Log4j.
Este problema solo afecta a Log4j 1.2 cuando se configura específicamente para usar JMSAppender, que no es el predeterminado. Apache Log4j 1.2 llegó al final de su vida útil en agosto de 2015. Los usuarios deben actualizar a Log4j 2, ya que resuelve muchos otros problemas de las versiones anteriores.
• CAUSAS: Deserialización de datos que no son de confianza.
• CONSECUENCIAS: El atacante puede proporcionar configuraciones TopicBindingName y TopicConnectionFactoryBindingName, lo que hace que JMSAppender realice solicitudes JNDI que dan como resultado la ejecución remota de código de manera similar a CVE-2021-44228
• IMPACTO:
- Confidencialidad: Bajo - Integridad: Alto - Disponibilidad: Bajo
• MITIGACIÓN: Se recomienda eliminar JMSAppender en la configuración de Log4j si se utiliza, como así también eliminar la clase JMSAppender de la ruta de clases. Restringir el acceso del usuario del sistema operativo en la plataforma que ejecuta la aplicación para evitar que el atacante modifique la configuración de Log4j.
• RESUMEN: La vulnerabilidad existe debido al procesamiento incorrecto de los datos proporcionados por el usuario. Un atacante remoto puede falsificar el contenido de la página ya que se realiza validación insuficiente de la entrada proporcionada por el usuario.
• PRODUCTO AFECTADO: Microsoft SharePoint Server: 2013, 2016, 2019
• CAUSAS: Ejecución de código remoto (RCE)
• CONSECUENCIAS: La vulnerabilidad permite a un atacante remoto realizar un ataque de suplantación de identidad.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Medio - Disponibilidad: Bajo
• MITIGACIÓN: Se recomienda realizar las actualizaciones correspondientes.
• RESUMEN: La vulnerabilidad suplanta la identidad del instalador de AppX afectando a Microsoft Windows. Los atacantes han estado aprovechando esta vulnerabilidad para instalar paquetes que incluyen algunas familias de malware como son Emotet, TrickBot o Bazaloader.
• PRODUCTO AFECTADO: Instalador Windows AppX
• CAUSAS: Suplantación de identidad
• CONSECUENCIAS: Un atacante podría crear un archivo adjunto malicioso para utilizarlo en campañas de phishing. El atacante tendría que convencer al usuario de que abra el archivo adjunto especialmente diseñado. Los usuarios cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que los usuarios que operan con derechos de usuario administrativos.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Alto - Disponibilidad: Bajo
• MITIGACIÓN: Microsoft recomienda verificar las actualizaciones y consultar las secciones Mitigaciones y Soluciones para obtener información importante sobre los pasos que puede tomar para proteger su sistema de esta vulnerabilidad.
• RESUMEN: La vulnerabilidad existe debido a una validación de entrada incorrecta en la aplicación de Microsoft Office. La explotación exitosa de esta vulnerabilidad puede resultar en un compromiso completo del sistema vulnerable.
• PRODUCTO AFECTADO: Microsoft Office en todas las versiones.
• CAUSAS: Ejecución de código remoto
• CONSECUENCIAS: Un atacante remoto puede enviar una solicitud especialmente diseñada y ejecutar código arbitrario en el sistema de destino.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Alto - Disponibilidad: Bajo
• MITIGACIÓN: Microsoft recomienda actualizar su lista de parches.
• RESUMEN: La vulnerabilidad existe por el desbordamiento de enteros en el asignador de memoria de SSLVPN en FortiOS anterior a 7.0.1 y puede permitir que un atacante no autenticado corrompa los datos de control a través de solicitudes específicamente diseñadas a SSLVPN, lo que da como resultado la ejecución de código potencialmente arbitrario.
• PRODUCTO AFECTADO: FortiOS, version 7.0.1 y anteriores
• CAUSAS: Ejecución de código remoto
• CONSECUENCIAS: Un atacante puede ejecutar remotamente código arbitrario en el sistema de destino. La explotación exitosa de esta vulnerabilidad puede resultar en un compromiso completo del sistema vulnerable.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Alto - Disponibilidad: Bajo
• MITIGACIÓN: Fortinet recomienda realizar las actualizaciones correspondientes que solucionaran la vulnerabilidad.
• RESUMEN: La vulnerabilidad de Apache Log4J no protege la recursividad incontrolada de búsquedas autorreferenciales. Esto permite que un atacante con control sobre los datos del mapa de contexto de subprocesos cause una denegación de servicio cuando se interpreta una cadena elaborada.
• PRODUCTO AFECTADO: Apache Log4j2 versiones 2.0-alpha1 a 2.16.0
• CAUSAS: Denegación de servicio
• CONSECUENCIAS: Un atacante podría explotar la vulnerabilidad de la recursión de referencias a sí mismas entre lookups; pudiendo fabricar entradas maliciosas que contengan lookups recursivos. Principalmente para provocar una excepción que fuerce la finalización del proceso con un código de error, de modo que podría ser aprovechado para la realización de un ataque de denegación de servicio.
• IMPACTO:
- Confidencialidad: Bajo - Integridad: Alto - Disponibilidad: Alto
• MITIGACIÓN: Se recomienda actualizar a la última versión de Log4j 2.17.0 en la cuál se resuelven los fallos de seguridad.
Se acercan las Navidades y comienza la época de mayor consumo del año. La mayoría de las compras se realizan a través de plataformas e-commerce y los ciberdelincuentes aprovechan especialmente estas fechas para atacar a los usuarios
Debemos estar prevenidos y tener conciencia de los posibles riesgos a los que nos enfrentamos cuando tratamos de hacer una compra online.
Aquí te compartimos recomendaciones que es importante que tengamos en cuenta para comprar de manera segura:
Haz siempre uso de plataformas conocidas: estar atentos de dónde estamos comprando. Ingresando en páginas web oficiales evitaremos caer en fraudes. Además, debemos sospechar de páginas donde se ofrezcan productos a muy bajo precio o gratuitos.
Revisa el sitio web antes de empezar a comprar: empieza por el navegador comprobando que la URL y el dominio de la web son normales, es decir, comprueba que la dirección comienza por https:// y que contiene el nombre exacto del negocio sin cambios ni errores ortográficos. Muchos ciberdelincuentes intentan suplantar la identidad de los negocios con dominios falsificados.
Pon atención a los mensajes masivos: no entres en ofertas dudosas que se comparten en redes sociales y analiza si un producto o un servicio se ofrece a un precio “demasiado” reducido. Comprueba siempre las ofertas a través de los sitios oficiales.
No difundas elfraude: siempre que exista alguna duda sobre el origen del negocio, no compartas ofertas con otros usuarios ya que el boca a boca en el entorno digital ayuda a que se propaguen. Nunca hagas clic en enlaces de supuestas ofertas compartidas vía aplicaciones de mensajería instantánea ya que en muchas ocasiones se encuentran bajo un enlace cortado y no podemos saber con claridad qué hay detrás de estos links.
Evitar riesgos en redes abiertas: no compres ni compartas datos bancarios cuando estés conectado a una red pública.
Intentar limitar la información personal que compartes: si tienes la sensación de que en una página web te están pidiendo datos que no es necesario compartir, revisa el sitio web y comunícate con la tienda para consultarles.
Ten precaución con los mensajes de texto que lleguen a tu móvil o a tu correo electrónico avisando sobre la “llegada de un paquete” o sobre un “pedido por pagar” sospechoso: Antes de clicar, revisa tu página oficial de mensajería o el sitio web donde has realizado la compra y consulta el estado de tu pedido.
Trata de usar siempre tarjetas virtuales: es decir, intenta no utilizar tu tarjeta de crédito, haz uso de tarjetas prepago que te proporcione tu banco. Con ellas, podrás cargar el importe exacto de tus compras evitando así el posible robo de dinero.
Actualiza los equipos electrónicos: mantener al día el software y el sistema operativo de todos tus equipos y aplicaciones es un requisito de ciberseguridad indispensable. Además, recuerda cambiar tus contraseñas frecuentemente y siempre que adquieras un dispositivo electrónico nuevo.
Utiliza la autenticación de dos factores: el uso de una contraseña y un código de seguridad limitará a los ciberdelincuentes cuando intenten entrar en los dispositivos de los usuarios.
Desde NextVision, creemos que es fundamental promover una cultura de la ciberseguridad para evitar vernos afectados por los ciberatacantes que aprovechan los despistes de los usuarios para robar información sensible o realizar estafas.
Última actualización: Jueves 17 de diciembre del 2021
Alerta de Seguridad Crítica: Apache Log4j Vulnerability
Ha sido detectada una vulnerabilidad critica (Apache Log4j Vulnerability) que afecta a la librería de registro Apache Log4j basada en Java.
EXPLICACIÓN
Esta vulnerabilidad afecta a la librería de registro Java Apache log4j, herramienta desarrollada por Apache Foundation que ayuda a los desarrolladores de software a escribir mensajes de registros y cuyo fin es dejar una constancia de una determinada transacción en tiempo de ejecución.Log4j también permite filtrar los mensajes en función de su importancia.
El Zero-Day se encuentra en la librería de registro de Java Log4j (2.0 – 2.14.1) que permite realizar una ejecución remota de código (RCE) al crear un paquete de solicitud de datos.
El mecanismo de Apache Log4j utiliza las funciones JNDI de la configuración. Los mensajes de registro y los parámetros no protegen contra el protocolo LDAP controlado por atacantes y endpoints relacionados con JNDI.
Un atacante que puede controlar mensajes de registro o parámetros de mensajes de registro puede ejecutar código arbitrario cargado desde servidores LDAP cuando la sustitución de búsqueda de mensajes está habilitada.
CAUSAS:
Deserialización de datos que no son de confianza.
Validación de entrada incorrecta.
Consumo no controlado de recursos.
MITIGACIÓN Y RECOMENDACIONES:
NextVision recomienda:
1.Revisar ficheros de configuración buscando log4j2.formatMsgNoLookups y la variable de entorno LOG4J_FORMAT_MSG_NO_LOOKUPS. Deben estar en True.
3. Revisar si se ha tenido un aumento de conexiones DNS: Los intentos se han focalizado en el uso de las POC que explotan la vulnerabilidad conectando con servidores de DNS. Un aumento fuera de lo habitual en las conexiones salientes a DNS puede ser indicativo de explotación exitosa.
4. Aplicar listas blancas en la salida de internet en caso de duda de estar usando la librería log4j.
7.En caso de sospechas revisar los logs de las aplicaciones para buscar “jndi” se pueden apoyar en losestos scripts.
8. Revisar si se está usando log4j.
Revisar en Windows si se han creado tareas programadas, y en Linux en el Cron.
No instalar parches no oficiales
Apache recomienda:
1. Los usuarios deben actualizar a Apache Log4j 2.13.2, que soluciona el problema en LOG4J2-2819 al hacer que la configuración de SSL sea configurable para las sesiones de correos SMTPS.
2. En el caso de versiones anteriores, los usuarios pueden establecer prioridad del sistema mail.smtp.ssl.checkserveridentity en “true” para habilitar la verificación del nombre host SMTPS para todas las sesiones de correos SMTPS.
3. Por otra parte, los usuarios de Java7+ deben migrar a la versión 2.8.2 o evitar el uso de las claves de servidor de socket.
4. Los usuarios de Java 6 deben evitar el uso de las clases de servidores socket TCP o UDP.
RECOMENDACIONES DE NUESTROS PARTNERS
A continuación, te compartimos las acciones de mitigación que deben implementar en tu organización en caso de contar con servicios de los siguientes vendors:
Fortinet
Sophos
Kaspersky
Forcepoint
F-Secure
SecurityScorecard
Symantec
Fortinet ha creado una alerta para este incidente que permite realizar un seguimiento y aplicar protecciones contra el problema utilizando Fortinet Security Fabric.
Protección de firma IPS (FortiOS)
Fortinet ha lanzado la firma IPS Apache.Log4j.Error.Log.Remote.Code.Execution, con VID 51006 para abordar esta amenaza. Esta firma se lanzó inicialmente en el paquete IPS (versión 19.215). Hay que tener en cuenta que, dado que se trata de una versión de emergencia, la acción predeterminada para esta firma está configurada para aprobar y hay que modificar las acciones según las necesidades.
Cortafuegos de aplicaciones web (FortiWeb y FortiWeb Cloud)
Las firmas de aplicaciones web para prevenir esta vulnerabilidad se agregaron en la base de datos 0.00301 y se actualizaron en la última versión 0.00305 para una cobertura adicional.
Productos de Fortinet afectados
Para los productos afectados por Fortinet, consulte aquí para obtener más detalles. Este Aviso se actualizará a medida que se implementen las mitigaciones y se publiquen versiones modificadas.
SophosLabs
Han implementado una serie de reglas IPS para escanear en busca de tráfico que intente aprovechar la vulnerabilidad Log4J.
Dicha vulnerabilidad requiere una defensa en profundidad. Las organizaciones deben implementar reglas para bloquear el tráfico de explotación de todos los servicios conectados a Internet (Sophos IPS actualmente bloquea el tráfico que coincide con las firmas de explotación conocidas de Log4J). Pero la protección a largo plazo requerirá identificar y actualizar instancias de Log4J o mitigar el problema cambiando la configuración en Log4J.
Kaspersky
Kaspersky tiene conocimiento de las PoC en el dominio público y de la posible explotación de CVE-2021-44228 por parte de los ciberdelincuentes. Nuestros productos protegen contra ataques que aprovechan la vulnerabilidad, incluido el uso de PoC. Los posibles nombres de detección son:
UMIDS: Intrusion.Generic.CVE-2021-44228.
PDM: Exploit.Win32.Generic
Veredictos de KATA :
Exploit.CVE-2021-44228.TCP.C & C
Exploit.CVE-2021-44228.HTTP.C & C
Exploit.CVE-2021-44228.UDP.C & C
Mitigaciones para CVE-2021-44228
Instale la versión más reciente de la biblioteca, 2.15.0. si es posible. Puedes descargarlo en la página del proyecto . Si usa la biblioteca en un producto de terceros, debe monitorear e instalar actualizaciones oportunas del proveedor de software.
Siga las pautas del proyecto Apache Log4j .
Utilice una solución de seguridad con componentes de gestión de parches, vulnerabilidad y prevención de exploits, como Kaspersky Endpoint Security for Business. Nuestro componente de prevención automática de exploits supervisa las acciones sospechosas de las aplicaciones y bloquea la ejecución de archivos maliciosos.
Utilice soluciones como Kaspersky Endpoint Detection and Response y Kaspersky Managed Detection and Response , que identifican y detienen los ataques en las primeras etapas.
Productos de Kaspersky afectados
Los productos de Kaspersky no se ven afectados por la vulnerabilidad CVE-2021-44228.
Se ha identificado una vulnerabilidad crítica que permite a un atacante remoto no autenticado ejecutar código arbitrario que compromete el servicio de administración. El componente vulnerable se ha identificado como Java log4j. A esta vulnerabilidad se le ha asignado la identificación CVE-2021-44228.
Forcepoint Security Manager (Web, correo electrónico y DLP)
Forcepoint Security Manager se considera vulnerable debido a la versión de log4j que se está utilizando; sin embargo, Forcepoint no ha podido replicar las vulnerabilidades conocidas de la vulnerabilidad. Sin embargo, es muy recomendable aplicar los pasos de mitigación.
El siguiente artículo de la base de conocimientos describe los pasos de mitigación inmediatos para esta vulnerabilidad:
Recomiendan implementar esta mitigación lo antes posible. Forcepoint también está trabajando para lanzar nuevas versiones con las bibliotecas log4j actualizadas incluidas.
El proveedor, proporcionará a los clientes un script que realizaría esta mitigación manual de manera automatizada. El script se publicará como una revisión a través del sitio web de soporte. El desarrollo de la secuencia de comandos ya está en progreso y proporcionaremos actualizaciones a medida que continuamos con nuestras pruebas.
F-Secure
Han identificado que esta vulnerabilidad también afecta a los siguientes productos:
F-Secure Policy Manager
F-Secure Policy Manager for Linux
F-Secure Policy Manager Proxy
F-Secure Policy Manager Proxy for Linux
F-Secure Endpoint Proxy
Todas las versiones de estos productos están afectados.
El procedimiento para solventar esta vulnerabilidad es el siguiente:
2.Comprobar el hash SHA256 del archivo, si es posible, para verificar su integridad. Debería ser 64f7e4e1c6617447a24b0fe44ec7b4776883960cc42cc86be68c613d23ccd5e0.
3. Detener el servicio Policy Manager Server.
4.Copiar el archivo descargado en:
• Administrador de políticas de Windows: C:\Program Files (x86)\F-Secure\Management Server 5\lib\
• Windows Endpoint Proxy: C:\Program Files\F-Secure\ElementsConnector\lib
• Linux (todos los productos): /opt/f-secure/fspms/lib
• Iniciar el servicio Policy Manager Server.
Tras el reinicio del servicio, el parche se aplicará automáticamente.
Security Scorecard
A medida que se desarrolla la situación, SecurityScorecard se compromete a ayudarlo a evaluar el impacto potencial en su organización y sus terceros. Siga los siguientes cinco pasos de inmediato:
1. Compruebe si su organización se ve afectada.
Es probable que cualquier activo se vea afectado si ejecuta una versión de Log4j posterior a la 2.0 y anterior a la 2.15.0, la versión fija. Revise los resultados del análisis de vulnerabilidades más recientes, que probablemente contengan la ubicación de cualquier instalación de Log4j activa en el entorno. También puede consultar los registros de aplicaciones en la nube en busca de cadenas que coincidan con la sintaxis jndi.ldap . Esto identificará cualquier instancia de escaneo o intentos de explotación activos.
Nota: Un sistema solo está potencialmente comprometido si la solicitud fue procesada por una versión vulnerable de Log4j. De lo contrario, la actividad no debe considerarse sospechosa.
2. Actualice a Log4j versión 2.15.0 inmediatamente.
Encuentre la última versión en la página de descarga de Log4j . La versión 2.15.0 requiere Java 8 o posterior, así que asegúrese de que Java esté ejecutando esta versión.
Importante: Verifique que no haya varias instalaciones de Log4j en una máquina afectada, ya que esto puede significar que existen varios archivos de configuración. Cada uno de estos puede contener una versión vulnerable de Log4j. Deberá corregir cada uno de ellos de forma independiente.
3. Envíe nuestro cuestionario Log4Shell a sus terceros con Atlas.
Una nueva plantilla de cuestionario titulada Preguntas Log4Shell ahora está disponible en Atlas. Si ya tiene Atlas, puede enviar este cuestionario a sus terceros de inmediato. Si no tiene Atlas, regístrese en atlas.securityscorecard.io o mire este video y aproveche los cinco créditos gratuitos que puede usar para enviar cuestionarios.
4. Haga cuatro preguntas a sus terceros:
¿Conoce la vulnerabilidad de log4shell?
¿Está utilizando una versión vulnerable de log4j?
5. Si la respuesta es sí…
¿Ha iniciado actividades de remediación o mitigación?
Symantec protege contra los intentos de explotación de dicha vulnerabilidad con las siguientes detecciones:
Basado en archivos
CL.Suspexec! Gen106
CL.Suspexec! Gen107
CL.Suspexec! Gen108
Linux.Kaiten
Caballo de Troya
Trojan.Maljava
Basado en aprendizaje automático
Heur.AdvML.C
Basado en red
Log4j2 RCE CVE-2021-44228: Ataque
Log4j2 RCE CVE-2021-44228 2: Ataque
Respuesta LDAP maliciosa: Ataque
Log4j2 RCE CVE-2021-44228: Auditoría
Respuesta LDAP maliciosa: Auditoría
Archivo sospechoso de clase Java que ejecuta comandos arbitrarios: Auditoría
Basado en políticas
DCS proporciona una gama de protección para las cargas de trabajo del servidor contra esta vulnerabilidad:
Las políticas de prevención evitan que el malware se elimine o ejecute en el sistema
Capacidad para bloquear o limitar LDAP, http y otro tráfico de cargas de trabajo del servidor y aplicaciones en contenedores utilizando log4j2 a servidores internos de confianza.
El sandboxing de las políticas de prevención brinda protección para RCE al evitar la ejecución de herramientas de uso dual, el robo de credenciales y la protección de recursos y archivos críticos del sistema.
En caso de usar SEPM, la versión 12 no contempla ninguna solución ya que ese complemento esta desactualizado y Apache ya no da soporte:
En SEPM 14, en el servidor debemos hacer lo siguiente:
1. Botón derecho en Inicio e ir a System
2.Clic en Advanced System settings
3.Clic en Environment Variables
4.Clic en New y en la ventana que se nos abre agregar en el campo variable LOG4J_FORMAT_MSG_NO_LOOKUPS y en valor true.
Si cuentas con soporte de NextVision, contáctanos para darte mayor asesoramiento. En caso contrario, puedes comunicarte con el equipo comercial para más información sobre nuestros servicios de consultoría/soporte:
*Por Roberto Heker, Director de NV. Para ISMS Forum.
El diseño de una estrategia de ciberseguridad requiere evaluar diferentes aspectos que abarcan la predicción, prevención, detección y respuesta. Dentro de este esquema es importante considerar la relación que hay entre la compañía y sus proveedores.
Efectivamente, en la búsqueda de lograr más eficiencia para el negocio esta relación ha ido creciendo con la digitalización. Sin embargo, esta interdependencia ha creado un potencial impacto en la ciberseguridad que no debe desdeñarse. Por lo que las compañías deben no solo proteger sus propias redes sino también disponer de medidas que mitiguen riesgos sobre las conexiones con la cadena de suministros.
Es ya redundante, pero no por innecesario, mencionar a los incidentes sufridos por Colonial cuyo incidente afectó a gran cantidad de compañías, ocasionando falta de combustible en varios estados de EEUU. O el de Kaseya, un proveedor de servicios administrados de tecnología, que, debido a una alteración en su solución, llevó a que 1500 clientes recibieron un malware en sus redes.
Es entonces necesario disponer de un programa de seguridad que contemple el riesgo proveniente de terceras partes. Cada industria tiene sus propias regulaciones, particularidades y desafíos que difieren de otras. Pero el problema es el mismo para todas las organizaciones: una huella digital expandida a través de los proveedores que las hace más vulnerables. Y esta combinación crea el escenario perfecto para ser aprovechado por los ciberdelincuentes.
Se pueden hacer varias aproximaciones sobre el abordaje a realizar para el gobierno de terceras partes, pero podemos resumirlo en:
Planificar la evaluación del impacto que una brecha de seguridad, producto de terceros, pueda tener en el negocio. Los parámetros a considerar abarcan la discontinuidad del servicio, la reputación, las finanzas, la continuidad de la operación, los regulatorios, entre otros.
Assessment de terceros, a partir del riesgo inherente del servicio o solución a proveer y cómo mitigarlo para lograr uno residual, propio del apetito de riesgo de la empresa.
Contratos asociados al rol y responsabilidades del proveedor como su nivel de riesgo para la organización. Esto incluye también el proceso de terminación del contrato, que debe detallar la transición en el momento de su finalización.
Operación y monitorización para poder detectar variaciones en el riesgo asociado al servicio o producto suplidos.
Cuando planeamos la contratación de un servicio, debemos primero evaluar qué criticidad tendrá para nuestra organización, y así determinar si es crítica, alta, moderada o baja. A partir de aquí podremos definir qué tipo y con qué frecuencia ejecutaremos nuestros assessment.
Para el assessment podemos adoptar distintos modelos de análisis, que van desde el uso de cuestionarios para evaluación de requerimientos de seguridad, hasta ratings, evaluaciones técnicas de seguridad y certificaciones.
Todas son utilizadas en distintas instancias. Por ejemplo, soluciones de ratings cómo SecurityScorecard permiten una muy buena escalabilidad, monitorización continua con bajo o ningún esfuerzo de implementación. Lógicamente deben complementarse con una mirada interna, como es el uso de cuestionarios. Disponer de una herramienta como SecurityScorecard permitiría implantar reglas antes las que, si el rating de un tercero se reduce en un valor determinado, enviarle a éste entonces un cuestionario que indague en las causas de esta modificación.
En cuanto a los contratos, éstos dependerán de la industria, la criticidad del negocio y del servicio, considerándose incluir en el mismo tópicos como análisis de riesgo, assessments, colaboración en la respuesta ante incidentes, cloud security, endpoint security entre otros.
Al vendor no solo se lo debe evaluar durante el onboarding sino a lo largo de todo el ciclo de vida de la relación. Es un trabajo complejo, pero si lo queremos hacer más gestionable, es conveniente segmentar de acuerdo a la criticidad de cada servicio. De este modo se podrá focalizar el monitoreo más minucioso en los proveedores más críticos.
Precisamente mencionábamos arriba herramientas de rating como SecurityScorecard que facilitan esta monitorización con muy bajo esfuerzo, automatizando acciones ante eventos que hacen más confortable el trabajo del equipo de profesionales de nuestra organización. Este tipo de soluciones no son por sí mismas las únicas que deberían instrumentarse, pero sí son claves en cualquier programa. Incluso integrables a un SOAR o soluciones de ticketing, por ejemplo.
Por lo tanto, cuando hablamos de decenas, cientos o incluso miles de proveedores,es importante saber que disponemos de potentes servicios de evaluación y monitorización de fácil implementación que nos ayudará en la tarea de gestión y evaluación.
Debe insistirse en el punto de que la evaluación de terceros es un área que más pronto que tarde las empresas deben madurar. Se debe lograr un programa integral que reúna herramientas y procesos que lleven a mitigar este riesgo. Y no se trata de implantar una herramienta o un cuestionario estándar. Una herramienta de scoring o rating no nos dará toda la perspectiva para una evaluación completa. Pero como cualquier herramienta de scoring en otras industrias (como la financiera o seguros), nos permitirán identificar cuando algo no está bien. Y nos llevarán a indagar más a fondo sobre qué está ocurriendo con lo que se está evaluando.
Concluyendo, la ciberseguridad cada día debe incorporar nuevas perspectivas. Ya hemos visto que durante 2020 fue necesario revisar los modelos de trabajo, obligando a una aceleración de la digitalización de las empresas que trajo un fuerte impacto en la ciberseguridad. La interdependencia tecnológica con proveedores es incluso anterior a la pandemia, y requiere que se preste atención a este tema. No es necesario esperar que una brecha en un tercero nos haga reflexionar sobre esta problemática. En ciberseguridad hay que ser. No cabe el no ser.
El jueves 25 de noviembre, se llevó a cabo la XXIII Jornada Internacional de Seguridad de la Información de ISMS Forum, uno de los eventos de ciberseguridad más importantes de Europa.
El mismo tuvo lugar en Madrid, con aproximadamente unas 500 personas que asistieron de la jornada. Desde NextVision, auspiciamos este importante evento que reunió a los referentes más importantes de la industria.
ISMS Forum 2021
Team NV&SecurityScorecard
Roberto Heker participando de la Round Table
Stand NV
Roberto Heker, director de NextVision participó en una de las mesas redondas donde se habló de Estrategias de Ciberseguridad en la Gestión de Ciberriesgos de Terceras Partes, donde profundizó sobre la importancia de la cadena de suministros en una estrategia sólida de ciberseguridad.
Además, estuvimos presentes en nuestro stand donde invitamos a los asistentes a realizar un scoring de ciberriesgo, y pudimos conversar más en detalle sobre los diferentes servicios que estamos impulsando desde NextVision:
Muchas gracias al equipo de ISMS Forum, a nuestro partner SecurityScorecard y a todos los clientes y visitantes que compartieron junto a nosotros esta importante jornada.
Por ello y para concienciar sobre los riesgos que existen en el mundo digital, aconsejamos implementar las siguientes recomendaciones de ciberseguridad para evitar ser víctimas de un ciberataque.
7 Recomendaciones de Ciberseguridad
ACTUALIZA TU SOFTWARE CON REGULARIDAD
Una actualización de software puede incluir parches de seguridad, corrección de errores y solución de vulnerabilidades.
Es indispensable que mantengas actualizado tu sistema operativo, tus aplicaciones, tu navegador, etc.
DESCONFÍA ANTE LA DUDA Y PIENSA ANTES DE HACER CLIC
Te recomendamos que nunca abras un archivo adjunto y no hagas clic en un enlace de remitentes no reconocidos o correos que no esperabas recibir.
En promociones, ofertas, sorteos o mensajes de remitentes conocidos que realizan solicitudes extrañas, confirma primero su veracidad.
CONTROLA TUS HUELLAS DIGITALES
Las huellas digitales son un conjunto de acciones digitales rastreables.
Es sumamente importante que compruebes tus actividades con regularidad y elimines las cuentasque no utilizas, a modo de detectar actividades sospechosas.
Restablece la contraseña de las cuentas a las que no ingresaste durante un largo tiempo.
PROTEGE TUS CONTRASEÑAS
Actualiza tus contraseñas periódicamente y no las reutilices en tus redes sociales ni en sitios potencialmente inseguros. Crea contraseñas fáciles de recordar y difíciles de adivinar.
Utiliza 8 caracteres como mínimo y combina, por ejemplo, mayúsculas, minúsculas, números y caracteres especiales.
UTILIZA EL DOBLE FACTOR DE AUTENTICACIÓN
En aplicaciones, plataformas, correos electrónicos, redes sociales y en todo software que lo permita, implementa el doble factor de autenticación para añadir una barrera más de seguridad.
HAZ COPIAS DE SEGURIDAD DE LA INFORMACIÓN CON REGULARIDAD
Contar con un backup de la información almacenada es una medida para minimizar el impacto de un ciberataque y asegurar la continuidad del trabajo.
Las copias de seguridad deberían estar cifradas y disponibles para restaurar en caso de ser necesario.
ESTABLECE CONEXIONES SEGURAS
No conectes tus dispositivos a redes Wi-Fi públicas y recuerda utilizar una red privada virtual (VPN). Esto, garantizará que la conexión esté encriptada, dificultando el acceso de un atacante.
El 80% de los ciberataques comienzan con un fallo humano. Los ciberdelincuentes lo saben
Comparte estas recomendaciones de ciberseguridad y fomentemos juntos la concientización para mantenernos más seguros y atentos, evitando caer en ciberataques.
Hoy en día la sociedad invierte gran parte de su tiempo en el mundo online, no solo por ocio, trabajo y entretenimiento, sino que busca soluciones a problemas concretos en la red. Es por ello, que los delitos también se han adaptado a esta nueva actualidad.
Los fraudes online más populares en 2021
Los fraudes, estafas o engaños por internet representan más del 80% de los ciberdelitos cometidos en 2021. Por esta razón, vamos a realizar un listado para detectar los fraudes online más comunes que usan los ciberdelincuentes para robar dinero y/o datos personales.
Correos electrónicos o SMS que se hacen pasar por Correos y/u otras empresas de mensajería.
El comercio online ha aumentado, por ello, los estafadores han aprovechado este incremento de tráfico para la sustracción de datos haciéndose pasar por entidades de envío.
Falsos emails de la Agencia Tributaria y otros organismos oficiales.
¡Cuidado con este tipo de emails! Suelen vincular una página web falsa para que introduzcas tu información personal. Asegúrate de que son páginas y correos oficiales.
Códigos falsos de verificación de WhatsApp.
En este tipo de fraude el estafador busca configurar en su teléfono cuentas de WhatsApp ajenas. Es recomendable no proporcionar códigos de confirmación a números desconocidos.
Comunicados falsos sobre el Covid.
Los estafadores aprovechan la angustia de la población para difundir links o enlaces a páginas web fraudulentas y de este modo robar o sustraer datos personales. Para informarse sobre la vacunación y la actualidad de la pandemia, es recomendable visitar webs oficiales.
Confirmaciones de compra de plataformas e-commerce.
Puedes encontrar emails sobre confirmación de pedido y/o incluso emails donde aseguran que ha habido problemas o intentos de inicio con tu cuenta de Amazon, Mercado Libre. ¡Evítalos! Revisa directamente el estado de tu cuenta desde la web o App oficial.
Phishing de bancos y servicios de pago.
Correos electrónicos donde se hacen pasar por bancos o servicios de pagos como PayPal. Para evitar este tipo de fraudes, accede a tu cuenta bancaria siempre siempre desde la aplicación o página web oficial.
Robo de cuentas en Instagram y/u otras RRSS.
Correos electrónicos donde los ciberdelincuentes declaran que tu cuenta de Instagram y/u otras RRSS va a ser eliminada, ha sido denunciada o ha habido un intento de sustracción. Encontraríamos un enlace a una web que simula la RRSS para dejar nuestros datos personales.
Estafas con criptomonedas.
Anuncios fraudulentos donde se ofrecen servicios de inversión de monedas.
.
Phishing de plataformas de streaming (Netflix, Amazon Prime, HBO o Disney Plus).
Correos electrónicos fraudulentos para acceder a tus cuentas de plataformas de streaming. Simulan ser páginas oficiales para acceder a los datos personales.
Cupones de descuento de grandes empresas.
Cupones, sorteos, códigos de descuento… todo desde correos electrónicos o SMS que redirigen a una página web fraudulenta. Para confirmar estos sorteos o códigos, es conveniente dirigirse a la página oficial.
Tips y consejos generales para evitar este tipo de estafas
Como hemos podido comprobar, existen numerosas formas de cometer estafas online y es posible que sin darnos cuenta, hayamos caído en su trampa. ¿Cómo debemos reaccionar en el caso de que estemos afectados en uno de estos ciberdelitos?
Si has proporcionado tu número de teléfono en alguno de estos engaños o descargado alguna app, es conveniente vigilar la factura de teléfono y ver que todo está en orden. En numerosas ocasiones, te suscriben a servicios SMS premium.
La mayoría de estas estafas se hacen de manera involuntaria, para prevenir este tipo de situaciones lo ideal es ponerse en contacto con la compañía de telefónica, para desactivar la opción de suscribirse a servicios SMS premium.
De la misma manera, si has proporcionado sin ser consciente tu datos de cuenta bancaria en una página web fraudulenta, vigila los cargos posteriores y ponte en contacto con tu entidad bancaria. Es recomendable prevenir solicitando una nueva tarjeta y dar de baja la actual.
¿Qué podemos hacer para evitar estos ciberdelitos?
Principalmente, como usuario o empresa, debes evitar dar tu información personal en una llamada o mensaje no solicitado.
En el caso de realizar transferencias de dinero, procura enviar a alguien que conoces personalmente y en el caso de ser una gran suma, realizarlo de forma fraccionada.
Del mismo modo, es conveniente usar servicios confiables que ofrecen protecciones de seguridad.
En el caso de pago a proveedores habituales, también estate atento a cualquier correo que pueda aparentar ser de dicho proveedor solicitando un cambio en el pago del servicio. Dicho proveedor pudo haber sido hackeado para cometer fraudes a terceros.
Desde NextVision, promovemos la predicción, prevención, detección y respuesta temprana para evitar situaciones de fraude cibernético. Así mismo, creemos en la capacitación y la concientización en ciberseguridad con el objetivo de educar de manera particular y empresarial y fomentar la construcción de una cultura cibersegura.
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos:Crítico, Alto, Medio y Bajo.
• GRAVEDAD: 9.0
• CVES RELACIONADOS: N/A
• FECHA DIVULGACIÓN: 16/09
• ACTUALIZACIÓN: 29/11
• RESUMEN: La vulnerabilidad contiene una uri-path de solicitud manipulada que puede hacer que mod_proxy reenvíe la solicitud a un servidor de origen elegido por el usuario remoto.
• PRODUCTO AFECTADO: Apache HTTP Server, version 2.4.48 y versiones anteriores
• CAUSAS: Falsificación de solicitudes del lado del servidor. Elevación de privilegios.
• CONSECUENCIAS: Un atacante podría forzar al módulo mod_proxy (si está habilitado) a dirigir las conexiones a un servidor de origen que hayan elegido y hacer que parezca que el servidor está enviando la solicitud, posiblemente saltándose los controles de acceso como los cortafuegos que impiden a los atacantes acceder a las URLs directamente.
• RESUMEN: Esta vulnerabilidad permite a los atacantes locales escalar los privilegios en las instalaciones afectadas de Kaspersky Password Manager. Un atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar esta vulnerabilidad.
• PRODUCTO AFECTADO: Kaspersky Password Manager para Windows anterior a 9.0.2 Patch R.
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios de integridad media y ejecutar código en el contexto del usuario actual con integridad alta.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Alto - Disponibilidad: Medio
• MITIGACIÓN: Kaspersky ha solucionado dicha vulnerabilidad.
• RESUMEN: La vulnerabilidad se encuentra dentro del instalador del producto. El problema se debe a los permisos incorrectos configurados en una carpeta. El atacante puede hacer uso de dicha vulnerabilidad para elevar privilegios y ejecutar código arbitrario como SYSTEM.
• PRODUCTO AFECTADO: Adobe Creative Cloud 5.5 y versión anterior.
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Un atacante local podría elevar privilegios en el instalador de Adobe Creative Cloud. El atacante debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar dicha vulnerabilidad.
• RESUMEN: Esta vulnerabilidad existe dentro del servicio de Windows Installer. Si se llegara a explotar se podría abusar del servicio para eliminar un archivo o directorio pudiendo ejecutar código arbitrario como SYSTEM.
• PRODUCTO AFECTADO: Windows 7, 8.1, 10, 11.
Windows Server 2008, 2012, 2019, 2022
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Un atacante podría escalar privilegios en las versiones afectadas de Mirosoft Windows mediante la ejecución de código con pocos privilegios en el sistema destino.
• IMPACTO:
- Confidencialidad: Bajo - Integridad: Bajo - Disponibilidad: Alto
• MITIGACIÓN: Microsoft lo solucionó lanzando el parche en el Patch Tuesday.
• RESUMEN: Esta vulnerabilidad no valida la entrada enviada en las solicitudes para actualizar la configuración del proxy de red, lo que podría llevar a la inyección de comandos remotos en la imagen local por un administrador del portal web.
• PRODUCTO AFECTADO: Controlador de conector de reunión local de Zoom antes de la versión 4.6.348.20201217
Zoom MMR de Meeting Connector en las instalaciones antes de la versión 4.6.348.20201217
Conector de grabación local de Zoom antes de la versión 3.8.42.20200905
Zoom del conector de sala virtual en las instalaciones antes de la versión 4.4.6620.20201110
Balanceador de carga del conector de sala virtual en las instalaciones de Zoom antes de la versión 2.5.5495.20210326
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Un atacante podría ejecutar código arbitrario en el servidor a través de privilegios de usuario root.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Medio - Disponibilidad: Bajo
• MITIGACIÓN: El fabricante recomienda actualizar a la última versión disponible que corrige esta vulnerabilidad.
• RESUMEN: La vulnerabilidad permite al hardware la activación de la lógica de prueba o depuración en tiempo de ejecución para algunos procesadores Intel, esto permite que un usuario no autenticado pueda elevar privilegios a través del acceso físico.
• PRODUCTO AFECTADO: Intel CPU
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Un atacante podría ejecutar un exploit para extraer la clave de cifrado de los dispositivos y obtener acceso a la información.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Alto - Disponibilidad: Bajo
• MITIGACIÓN: Intel recomienda que los usuarios de los procesadores Intel afectados se actualicen a la última versión proporcionada por el fabricante del sistema que resuelve estos problemas.
• RESUMEN: La vulnerabilidad existe dentro del servicio UPnP, que escucha en el puerto TCP 5000 de forma predeterminada. Al analizar el encabezado de la solicitud uuid, el proceso no valida correctamente la longitud de los datos proporcionados por el usuario antes de copiarlos en un búfer basado en pila de longitud fija.
• PRODUCTO AFECTADO: NETGEAR versión R6400v2 1.0.4.106_10.0.80
• CAUSAS: Desbordamiento de búfer
• CONSECUENCIAS: Un atacante adyacente a la red podría ejecutar código arbitrario en los dispositivos afectados. No se requiere autenticación para dicha explotación.
• RESUMEN: Esta vulnerabilidad existe por la debilidad en un subsistema SSH, una función desconocida del componente Key-based SSH Authentication Handler es afectada.
• PRODUCTO AFECTADO: Cisco Policy Suite con versiones anteriores a la 21.2.0.
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: El atacante podría hacer uso de esta vulnerabilidad si logra conectarse a un dispositivo afectado a través de SSH. Con la creación de un exploit podría iniciar sesión remota sin autenticarse en un sistema con usuario root.
• MITIGACIÓN: Cisco recomienda actualizar a la última versión lanzada teniendo en cuenta que si las versiones anteriores de Cisco Policy Suite se actualizan a la versión 21.2.0, las claves SSH predeterminadas aún deben cambiarse manualmente.
Por otra parte, las claves SSH predeterminadas deben cambiarse.
• RESUMEN: La vulnerabilidad de ejecución de código remoto (RCE) se produce, ya que existe un falla de una validación incorrecta en los argumentos command-let (cmdlet)
• PRODUCTO AFECTADO: Microsoft Exchange Server Exchange 2016 y 2019
• CAUSAS: Remote Code Execution (RCE)
• CONSECUENCIAS: Un atacante remoto y autenticado podría tomar el control total de Exchange Server mediante el envío de paquetes malintencionados al servidor.
• RESUMEN: Se ha descubierto que, mediante la omisión de funciones de seguridad, los atacantes pueden instalar código malicioso para engañar a los usuarios al abrir un archivo de Excel.
• PRODUCTO AFECTADO: Microsoft Office 365 Apps para empresas / 2013 RT SP1 / 2013 SP1 / 2016/2019 / LTSC hasta 2021
• CAUSAS: Elevación de privilegios
• CONSECUENCIAS: Un atacante podría ejecutar código si la victima abre un archivo malicioso especialmente diseñado y de esta forma escalar privilegios.
• RESUMEN: Se ha descubierto un problema en GitLab CE/ EE que afecta a todas las versiones a partir de la 11.9.
GitLab no estaba validando correctamente los archivos de imagen que se pasaron a un analizador de archivos, lo que resultó en la ejecución de comando remoto.
Esta vulnerabilidad se publicó el 14 de abril del 2021 y se categorizó con un CVSS 9,9, pero en la ultima revisión se aumentó a 10.0.
La corrección se encontró insuficiente para esta vulnerabilidad, ya que no considera las ramificaciones que no se limitaban a lecturas de archivo arbitrarias.
• PRODUCTO AFECTADO: Versiones de GitLab Enterprise Edition (EE) y GitLab Community Edition (CE) a partir de la 11.9.
• CAUSAS: Invalidación de archivos de imagen que lleva a realizar un RCE.
• CONSECUENCIAS: Un atacante remoto podría ejecutar comandos arbitrarios como gitusuario debido al mal manejo de ExifTool de los archivos DjVu. El atacante, para explotar esta vulnerabilidad, no necesita una Autenticación, CSRF token o un endpoint HTTP válido.
• RESUMEN: La vulnerabilidad ManageEngine ADSelfService Plus es una solución de autoservicio de administración de contraseñas e inicio de sesión único para Active Directory y aplicaciones en la nube.
La misma se podría aprovechar para tomar el control de un sistema. Una campaña china de ciberespionaje recientemente fue descubierta explotando la vulnerabilidad de Zoho.
• PRODUCTO AFECTADO: ADSelfService Plus builds up to 6113
• CAUSAS: Ejecución de código remoto (RCE) y path traversal.
• CONSECUENCIAS: El atacante puede cargar un archivo .zip que contiene un Java Server Pages (JSP) WebShell hace pasar por un certificado X509: service.cer. Luego, se realizan solicitudes a diferentes puntos de la API para explotar aún más el sistema de la víctima.
• RESUMEN: La vulnerabilidad cuenta con un problema en net/tipc/crypto.c dentro del kernel de Linux en las versiones anteriores de 5.14.16.
La funcion Transparent Inter-Process Communication (TIPC) permite que un usuario malintencionado remoto se aproveche de la invalidación de los tamaños que proporciona el usuario para el tipo de mensaje MSG_CRYPTO.
• PRODUCTO AFECTADO: Linux Kernel hasta 5.14.15
• CAUSAS:Desbordamiento de memoria.
• CONSECUENCIAS: Un atacante podría ejecutar código arbitrario dentro del kernel, comprometiendo en su totalidad el sistema afectado ya que existe una falta de comprobación para el campo keylen del mensaje MSG_CRPPTO.
Esto causaría un desbordamiento de memoria y la escritura fuera del límite asignado.
• RESUMEN: Esta vulenerabilidad de corrupción de memoria afecta al firewall de PAN que utiliza GlobalProtect portal VPN. Los investigadores de Randori crearon un exploit que es capaz de obtener shell en el objetivo y acceder a datos de configuración y robar credenciales.
• PRODUCTO AFECTADO: Palo Alto PAN-OS versiones posteriores a 8.1.17.
• CAUSAS: Buffer Overflow. Ejecución remota de código sin autenticación.
• CONSECUENCIAS: Un atacante no autenticado en la red podría generar interrupción y ejecutar código arbitrario con privilegios root y moverse lateralmente.
This website uses cookies to improve your experience. We'll assume you're ok with this, but you can opt-out if you wish. Cookie settingsACCEPT
Privacy & Cookies Policy
Privacy Overview
This website uses cookies to improve your experience while you navigate through the website. Out of these cookies, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may have an effect on your browsing experience.
Necessary cookies are absolutely essential for the website to function properly. This category only includes cookies that ensures basic functionalities and security features of the website. These cookies do not store any personal information.
Any cookies that may not be particularly necessary for the website to function and is used specifically to collect user personal data via analytics, ads, other embedded contents are termed as non-necessary cookies. It is mandatory to procure user consent prior to running these cookies on your website.
