NextVision
0
Una vulnerabilidad de falla en el mecanismo de protección [CWE-693] en FortiWeb puede permitir a un atacante eludir las protecciones XSS y CSRF.
NextVision
0
Recientemente se descubrió una vulnerabilidad identificada como CVE-2023-27997. La misma se basa en un desbordamiento de búfer basado en memoria dinámica [CWE-122] en FortiOS SSL-VPN cuya explotación podría permitir que un atacante remoto no autenticado ejecute código o comandos arbitrarios a través de solicitudes diseñadas específicamente.
Fortinet informó la vulnerabilidad, el fabricante tiene constancia de que ha sido explotada activamente. Recomienda validar inmediatamente los sistemas potencialmente afectados frente a los IOCs aportados.
NextVision
0
Recientemente se descubrió una vulnerabilidad identificada como CVE-2022-42475. La misma se trata de un desbordamiento de búfer basado en memoria dinámica [CWE-122] en FortiOS SSL-VPN cuya explotación podría permitir que un atacante remoto no autenticado ejecute código o comandos arbitrarios a través de solicitudes diseñadas específicamente.
Fortinet informó la vulnerabilidad como FG-IR-22-398 y el fabricante tiene constancia de que ha sido explotada activamente. Recomienda validar inmediatamente los sistemas potencialmente afectados frente a los IOCs aportados.
NextVision
0
Ha sido detectada una vulnerabilidad critica (Apache Log4j Vulnerability) que afecta a la librería de registro Apache Log4j basada en Java.
Esta vulnerabilidad afecta a la librería de registro Java Apache log4j, herramienta desarrollada por Apache Foundation que ayuda a los desarrolladores de software a escribir mensajes de registros y cuyo fin es dejar una constancia de una determinada transacción en tiempo de ejecución. Log4j también permite filtrar los mensajes en función de su importancia.
El Zero-Day se encuentra en la librería de registro de Java Log4j (2.0 – 2.14.1) que permite realizar una ejecución remota de código (RCE) al crear un paquete de solicitud de datos.
El mecanismo de Apache Log4j utiliza las funciones JNDI de la configuración. Los mensajes de registro y los parámetros no protegen contra el protocolo LDAP controlado por atacantes y endpoints relacionados con JNDI.
Un atacante que puede controlar mensajes de registro o parámetros de mensajes de registro puede ejecutar código arbitrario cargado desde servidores LDAP cuando la sustitución de búsqueda de mensajes está habilitada.
1. Revisar ficheros de configuración buscando log4j2.formatMsgNoLookups y la variable de entorno LOG4J_FORMAT_MSG_NO_LOOKUPS. Deben estar en True.
2. Revisar aplicaciones de Java:
3. Revisar si se ha tenido un aumento de conexiones DNS: Los intentos se han focalizado en el uso de las POC que explotan la vulnerabilidad conectando con servidores de DNS. Un aumento fuera de lo habitual en las conexiones salientes a DNS puede ser indicativo de explotación exitosa.
4. Aplicar listas blancas en la salida de internet en caso de duda de estar usando la librería log4j.
5. Revisar si tiene uno de estos aplicativos.
6. Revisar en logs estos IOC.
7. En caso de sospechas revisar los logs de las aplicaciones para buscar “jndi” se pueden apoyar en los estos scripts.
8. Revisar si se está usando log4j.
1. Los usuarios deben actualizar a Apache Log4j 2.13.2, que soluciona el problema en LOG4J2-2819 al hacer que la configuración de SSL sea configurable para las sesiones de correos SMTPS.
2. En el caso de versiones anteriores, los usuarios pueden establecer prioridad del sistema mail.smtp.ssl.checkserveridentity en “true” para habilitar la verificación del nombre host SMTPS para todas las sesiones de correos SMTPS.
3. Por otra parte, los usuarios de Java7+ deben migrar a la versión 2.8.2 o evitar el uso de las claves de servidor de socket.
4. Los usuarios de Java 6 deben evitar el uso de las clases de servidores socket TCP o UDP.
A continuación, te compartimos las acciones de mitigación que deben implementar en tu organización en caso de contar con servicios de los siguientes vendors:
Fortinet ha creado una alerta para este incidente que permite realizar un seguimiento y aplicar protecciones contra el problema utilizando Fortinet Security Fabric.
Protección de firma IPS (FortiOS)
Fortinet ha lanzado la firma IPS Apache.Log4j.Error.Log.Remote.Code.Execution, con VID 51006 para abordar esta amenaza. Esta firma se lanzó inicialmente en el paquete IPS (versión 19.215). Hay que tener en cuenta que, dado que se trata de una versión de emergencia, la acción predeterminada para esta firma está configurada para aprobar y hay que modificar las acciones según las necesidades.
Cortafuegos de aplicaciones web (FortiWeb y FortiWeb Cloud)
Las firmas de aplicaciones web para prevenir esta vulnerabilidad se agregaron en la base de datos 0.00301 y se actualizaron en la última versión 0.00305 para una cobertura adicional.
Productos de Fortinet afectados
Para los productos afectados por Fortinet, consulte aquí para obtener más detalles. Este Aviso se actualizará a medida que se implementen las mitigaciones y se publiquen versiones modificadas.
SophosLabs
Han implementado una serie de reglas IPS para escanear en busca de tráfico que intente aprovechar la vulnerabilidad Log4J.
Dicha vulnerabilidad requiere una defensa en profundidad. Las organizaciones deben implementar reglas para bloquear el tráfico de explotación de todos los servicios conectados a Internet (Sophos IPS actualmente bloquea el tráfico que coincide con las firmas de explotación conocidas de Log4J). Pero la protección a largo plazo requerirá identificar y actualizar instancias de Log4J o mitigar el problema cambiando la configuración en Log4J.
Kaspersky
Kaspersky tiene conocimiento de las PoC en el dominio público y de la posible explotación de CVE-2021-44228 por parte de los ciberdelincuentes. Nuestros productos protegen contra ataques que aprovechan la vulnerabilidad, incluido el uso de PoC. Los posibles nombres de detección son:
UMIDS: Intrusion.Generic.CVE-2021-44228.
PDM: Exploit.Win32.Generic
Veredictos de KATA :
Exploit.CVE-2021-44228.TCP.C & C
Exploit.CVE-2021-44228.HTTP.C & C
Exploit.CVE-2021-44228.UDP.C & C
Mitigaciones para CVE-2021-44228
Los productos de Kaspersky no se ven afectados por la vulnerabilidad CVE-2021-44228.
Indicadores de compromiso (COI)
• 1cf9b0571decff5303ee9fe3c98bb1f1
• 194db367fbb403a78d63818c3168a355
• 18cc66e29a7bc435a316d9c292c45cc6
Forcepoint
Productos afectados
Descripción de la vulnerabilidad
Se ha identificado una vulnerabilidad crítica que permite a un atacante remoto no autenticado ejecutar código arbitrario que compromete el servicio de administración. El componente vulnerable se ha identificado como Java log4j. A esta vulnerabilidad se le ha asignado la identificación CVE-2021-44228.
Para obtener la lista completa de productos Forcepoint y su estado actual, consulte Vulnerabilidad de ejecución remota de código de día cero Apache log4j CVE-2021-44228.
Forcepoint Cloud
Forcepoint Cloud Security Gateway (CSG) como Cloud Web Security y Cloud Email no son vulnerables.
Forcepoint DLP
Forcepoint DLP Manager se considera vulnerable debido a la versión de log4j que se está utilizando y se recomienda aplicar los pasos de mitigación.
El siguiente artículo de la base de conocimientos describe los pasos de mitigación inmediatos para esta vulnerabilidad:
CVE-2021-44228 Mitigación de la vulnerabilidad de Java log4j con Forcepoint DLP
Forcepoint Security Manager (Web, correo electrónico y DLP)
Forcepoint Security Manager se considera vulnerable debido a la versión de log4j que se está utilizando; sin embargo, Forcepoint no ha podido replicar las vulnerabilidades conocidas de la vulnerabilidad. Sin embargo, es muy recomendable aplicar los pasos de mitigación.
El siguiente artículo de la base de conocimientos describe los pasos de mitigación inmediatos para esta vulnerabilidad:
CVE-2021-44228 Mitigación de la vulnerabilidad de Java log4j con Forcepoint Security Manager
Soluciones alternativas
Recomiendan implementar esta mitigación lo antes posible. Forcepoint también está trabajando para lanzar nuevas versiones con las bibliotecas log4j actualizadas incluidas.
El proveedor, proporcionará a los clientes un script que realizaría esta mitigación manual de manera automatizada. El script se publicará como una revisión a través del sitio web de soporte. El desarrollo de la secuencia de comandos ya está en progreso y proporcionaremos actualizaciones a medida que continuamos con nuestras pruebas.
F-Secure
Han identificado que esta vulnerabilidad también afecta a los siguientes productos:
Todas las versiones de estos productos están afectados.
El procedimiento para solventar esta vulnerabilidad es el siguiente:
1. Descargar el parche desde el servidor de F-Secure.
2. Comprobar el hash SHA256 del archivo, si es posible, para verificar su integridad. Debería ser 64f7e4e1c6617447a24b0fe44ec7b4776883960cc42cc86be68c613d23ccd5e0.
3. Detener el servicio Policy Manager Server.
4. Copiar el archivo descargado en:
• Administrador de políticas de Windows: C:\Program Files (x86)\F-Secure\Management Server 5\lib\
• Windows Endpoint Proxy: C:\Program Files\F-Secure\ElementsConnector\lib
• Linux (todos los productos): /opt/f-secure/fspms/lib
• Iniciar el servicio Policy Manager Server.
Tras el reinicio del servicio, el parche se aplicará automáticamente.
Security Scorecard
A medida que se desarrolla la situación, SecurityScorecard se compromete a ayudarlo a evaluar el impacto potencial en su organización y sus terceros. Siga los siguientes cinco pasos de inmediato:
1. Compruebe si su organización se ve afectada.
Es probable que cualquier activo se vea afectado si ejecuta una versión de Log4j posterior a la 2.0 y anterior a la 2.15.0, la versión fija. Revise los resultados del análisis de vulnerabilidades más recientes, que probablemente contengan la ubicación de cualquier instalación de Log4j activa en el entorno. También puede consultar los registros de aplicaciones en la nube en busca de cadenas que coincidan con la sintaxis jndi.ldap . Esto identificará cualquier instancia de escaneo o intentos de explotación activos.
Nota: Un sistema solo está potencialmente comprometido si la solicitud fue procesada por una versión vulnerable de Log4j. De lo contrario, la actividad no debe considerarse sospechosa.
2. Actualice a Log4j versión 2.15.0 inmediatamente.
Encuentre la última versión en la página de descarga de Log4j . La versión 2.15.0 requiere Java 8 o posterior, así que asegúrese de que Java esté ejecutando esta versión.
Importante: Verifique que no haya varias instalaciones de Log4j en una máquina afectada, ya que esto puede significar que existen varios archivos de configuración. Cada uno de estos puede contener una versión vulnerable de Log4j. Deberá corregir cada uno de ellos de forma independiente.
3. Envíe nuestro cuestionario Log4Shell a sus terceros con Atlas.
Una nueva plantilla de cuestionario titulada Preguntas Log4Shell ahora está disponible en Atlas. Si ya tiene Atlas, puede enviar este cuestionario a sus terceros de inmediato. Si no tiene Atlas, regístrese en atlas.securityscorecard.io o mire este video y aproveche los cinco créditos gratuitos que puede usar para enviar cuestionarios.
4. Haga cuatro preguntas a sus terceros:
5. Si la respuesta es sí…
Para más información ingresa aquí.
Symantec
Symantec protege contra los intentos de explotación de dicha vulnerabilidad con las siguientes detecciones:
Basado en archivos
Basado en aprendizaje automático
Basado en red
Basado en políticas
DCS proporciona una gama de protección para las cargas de trabajo del servidor contra esta vulnerabilidad:
En caso de usar SEPM, la versión 12 no contempla ninguna solución ya que ese complemento esta desactualizado y Apache ya no da soporte:
1. Botón derecho en Inicio e ir a System
2. Clic en Advanced System settings
3. Clic en Environment Variables
4. Clic en New y en la ventana que se nos abre agregar en el campo variable LOG4J_FORMAT_MSG_NO_LOOKUPS y en valor true.
Si cuentas con soporte de NextVision, contáctanos para darte mayor asesoramiento. En caso contrario, puedes comunicarte con el equipo comercial para más información sobre nuestros servicios de consultoría/soporte:
Desde ya, quedamos a disposición para cualquier consulta o inquietud.
Departamento de Tecnología de NextVision
NextVision
0
Microsoft emitió un comunicado alertando sobre la existencia de ataques que están explotando una vulnerabilidad zero-day en Windows que aún no cuenta con parche.
El zero-day se encuentra en la Biblioteca Adobe Type Manager (atmfd.dll), una biblioteca que Microsoft usa para representar fuentes PostScript Tipo 1 en varias versiones de Windows, tanto para escritorio como para servidores.
Microsoft dice que hay dos vulnerabilidades de ejecución remota de código (RCE) en esta biblioteca incorporada, que permiten a los atacantes ejecutar código en el sistema de un usuario y tomar medidas en su nombre.
«Hay varias formas en que un atacante podría aprovechar la vulnerabilidad, como convencer a un usuario para que abra un documento especialmente diseñado o verlo en el panel de Vista previa de Windows», dijo la compañía.
Según Microsoft, todas las versiones actualmente compatibles de los sistemas operativos Windows y Windows Server son vulnerables; sin embargo, el zero -day es menos efectivo en Windows 10, donde el archivo atmfd.dll no está presente o se ejecuta dentro de un entorno limitado AppContainer con privilegios y capacidades limitados.
Las actualizaciones de seguridad no están disponibles actualmente. Microsoft insinuó que podrían llegar durante el Patch Tuesday del próximo mes, actualmente programado para el 14 de abril.
Mientras tanto, Microsoft ha publicado una serie de mitigaciones que las empresas y los usuarios domésticos pueden tomar si creen que podrían ser blanco de un ataque de zero-day en Windows. Microsoft dijo que las mitigaciones no son necesarias para los sistemas Windows 10, donde el día cero tiene un impacto reducido.
¿Qué recomendaciones hacemos desde NextVision para mitigar los posibles ataques?
– Desactivar el panel de detalles y el de vista previa en el Explorador de Windows.
– Desactivar el servicio WebClient.
– Renombrar el fichero atmfd.dll
El proximo patch de windows está programado para el 14 de Abril, para clientes con Windows 7 y Windows 2008 Server, dos sistemas operativos carentes ya de soporte oficial por parte de Microsoft. La compañía hará llegar el parche a quien tenga contratadas las ESU (actualizaciones de seguridad extendidas). De no contar con este licenciamiento se recomiendan utilizar tecnologías de Virtual Patching para segurizar y proteger estos sistemas vulnerables.
Contá con nosotros!
Comunicate con nuestro equipo para asesorarte estos temas y otras problemáticas de ciberseguridad.
Escribinos a info@nextvision.com.
Fuente:
Departamento de Tecnología de NextVision
NextVision
0
Última actualización: Jueves 16 de mayo | 14.30hs
Microsoft anunció el descubrimiento de un error “gusano” que pone en riesgo los antiguos, pero aún utilizados, sistemas operativos Windows 7, Windows Server 2008 R2, Windows Server 2008, Windows XP y Windows 2003. Ante esto, la empresa aseguró que lanzará actualizaciones de seguridad para estas versiones, a pesar de que las mismas ya no cuentan con soporte técnico.
Es necesario que los sistemas expuestos sean parcheados lo antes posible, pues la vulnerabilidad descubierta reside en los “servicios de escritorio remoto” integrados en estas versiones, se caracteriza por ser pre-autenticación y no requiere la interacción de usuarios. Esta falla genera las condiciones para alimentar un malware de rápido movimiento que puede propagarse de una computadora vulnerable a otra vulnerable, de manera semejante a los ataques del ransomware WannaCry de 2017.
En total, Microsoft lanzó hoy 16 actualizaciones dirigidas a por lo menos 79 agujeros de seguridad en Windows y software relacionado. Casi una cuarta parte de ellos obtuvieron la calificación “crítica” más grave de Microsoft. Los errores críticos son aquellos que pueden ser explotados por programas maliciosos para penetrar en sistemas vulnerables de forma remota, sin la ayuda de los usuarios.
Otros productos de Microsoft que reciben parches hoy en día incluyen Office y Office365, Sharepoint, .NET Framework y el servidor SQL. Una vez más -la cuarta en este año-, Microsoft está parchando otra falla crítica en el componente de Windows responsable de asignar las direcciones de Internet a las computadoras host (también conocido como “cliente DHCP de Windows”).
¿Cuáles son las recomendaciones a seguir?
Las vulnerabilidades detectadas se podrán priorizar automáticamente para que se apliquen los parches más urgentes y se implementen en forma prioritaria las actualizaciones más importantes
Fuentes consultadas:
NextVision
0
1. ¿Qué pasó?
Se encontraron nuevas vulnerabilidades en los protocolos WPA/WPA2, utilizados para proteger la seguridad de todas las redes WiFi modernas.
El ataque se inicia en la etapa de negociación del protocolo, que es ejecutado cuando un cliente quiere unirse a una red WiFi protegida. Este mecanismo se usa para confirmar que tanto el cliente como el punto de acceso WiFi poseen las credenciales correctas. Por otro lado, también se encarga de negociar la clave para cifrar el tráfico producido mediante WiFi.
2. ¿Qué significa KRACK?
KRACK (Key Reinstallation Attacks) es el acrónimo con el que se llama a los ataques de reinstalación de clave que se utilizan para explotar las debilidades de WPA/WPA2.
3. ¿Cómo actúa?
El ataque funciona sobre las dos versiones de WPA e incluso aquellas que emplean AES para cifrar. Cuando un cliente se une a una red inalámbrica, ejecuta una negociación de autenticación conocida como handshake de 4 vías. En la tercera fase de dicha negociación, la clave de cifrado se instala y es usada para cifrar los datos mediante un protocolo.
Sin embargo, debido a que los mensajes pueden perderse, el sistema WiFi retransmite el tercer mensaje en caso de no recibir una respuesta apropiada de su llegada por parte del cliente, abriendo la posibilidad de retransmitirlo varias veces. Cada vez que se recibe este mensaje se reinstalará la misma clave de cifrado, por lo tanto se reinicia el número incremental de paquete transmitido (nonce) y se recibe un contador de repetición utilizado por el protocolo de cifrado.
4. ¿Qué vulnerabilidades pudieron ser explotadas?
CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088
Es importante tener en cuenta que cada ID de CVE describe una vulnerabilidad de protocolo específica y, por lo tanto, muchos proveedores se ven afectados por cada ID de CVE individual.
Los invitamos a leer la nota de vulnerabilidad VU # 228519 de CERT / CC para obtener detalles adicionales sobre qué productos han sido afectados.
5. ¿Cuáles son los posibles daños?
A través de su ejecución los ciber delincuentes podrían leer toda la información que no esté cifrada mediante una comunicación establecida por WPA/WPA2: números de tarjetas de crédito, contraseñas, mensajes de chat, emails y, en definitiva, cualquier dato que pase por la red WiFi y se encuentre en sitios poco protegidos.
6. ¿Qué podemos hacer ante esta amenaza?
Al estar hablando de un protocolo, serán los organismos IEE y Wifi Alliance los que deberá trabajar en encontrar un workaround a la versión actual o diseñar un nuevo estándar para que luego los fabricantes puedan desarrollar el nuevo código que permita reestablecer conexiones seguras en entornos wifi.
Hoy más que nunca, resulta FUNDAMENTAL para las empresas trabajar en capas de encriptación, para proteger la información crítica (almacenada y en tránsito) que pueda llegar a manos de delincuentes.
Desde NextVision, les facilitamos los siguientes materiales para una buena estrategia de Encriptación:
Siempre es importante poder conocer los posibles riesgos a los que nos enfrentamos, haciendo un análisis de nuestra propia infraestructura. Para eso, contamos con el Cybersecurity Health Check, un servicio de NextVision pensado para responder a ciberamenazas. Conocelo.
Fuentes:
