Múltiples vulnerabilidades en productos de IBM

IBM ha publicado varias vulnerabilidades, una crítica, 5 altas y 1 media, que afectan a sus productos y que podrían permitir la obtención de información sensible, la escalada de privilegios, la denegación del servicio o el consumo de memoria, catalogadas de  Importancia: 5 - Crítica

Recursos afectados:

1. IBM Flex System Chassis Management Module (CMM) versión 2PET,
2. VRA - Vyatta 5600,
3. FileNet Content Manager versiones 5.2.1 y 5.5.0,
4. IBM Flex System Chassis Management Module (CMM).
5. [Actualización 09/11/2018]
6. IBM Case Manager versiones 5.3.x, 5.2.1, 5.2.0 y 5.1.1

Recomendación

• Para IBM Flex System Chassis Management Module (CMM) versión 2PET e IBM Flex System Chassis Management Module (CMM), descargar la actualización desde http://www.ibm.com/support/fixcentral/
• Para VRA - Vyatta 5600, contactar con IBM Cloud Support para solicitar que la ISO de la release 1801q se envíe a su sistema Vyatta.
• Para FileNet Content Manager versiones 5.2.1 y 5.5.0, instalar la versión 5.2.1.7-P8CPE-IF004 o la versión 5.5.1.0-P8CPE

[Actualización 09/11/2018]

1.    Para IBM Case Manager

1.1. Versiones desde 5.3.0.0 hasta 5.3.3.0: actualizar a 5.3.3.0-ICM-IF003 o posterior.

1.2. Versiones desde 5.2.1.0 hasta 5.2.1.7: actualizar a 5.2.1.7-ICM-IF004 o posterior.

1.3. Versiones desde 5.2.0.0 hasta 5.2.0.4: actualizar a 5.2.0.4-ICM-IF003 o posterior.

1.4. IBM Case Manager 5.1.1 ya no está soportada; IBM recomienda actualizar el producto a una versión actualizada y compatible.

Detalle de vulnerabilidades

La vulnerabilidad de Apache Portable Runtime APR que afecta a IBM Flex System Chassis Management Module, podría permitir a un atacante remoto obtener información sensible mediante el uso de una matriz fuera de límites en las funciones apr_time_exp*(). Al utilizar un valor no válido en el campo mes, un atacante remoto podría explotar esta vulnerabilidad para obtener información confidencial o provocar una denegación de servicio. Se ha asignado el identificador CVE-2017-12613 para esta vulnerabilidad de severidad crítica.

Los identificadores reservados para el resto de vulnerabilidades son: CVE-2018-13405, CVE-2018-5390, CVE-2018-3646, CVE-2018-3620, CVE-2018-1844, CVE-2017-17833.

Más información

Certsi https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/multiples-vulnerabilidades-productos-ibm-1

Fuente: INCIBE

PHP. Múltiples vulnerabilidades

Se han publicado múltiples vulnerabilidades en PHP para las versiones anteriormente mencionadas. Importancia: 4 - Alta

Recursos afectados:

1.    PHP versiones 7.2.x

2.    PHP versiones 7.1.x

Recomendación

Actualizar PHP según la rama de producto instalada a una de las siguientes versiones:

·        PHP versión 7.2.11

·        PHP versión 7.1.23

Detalle de vulnerabilidades

Las actualizaciones solucionan múltiples fallos en las versiones afectadas, incluyendo la corrección de las siguientes vulnerabilidades:

• Excepción incorrecta al usar ReflectionMethod.
• ZendOPcache.MemoryBase periódicamente borrado por el sistema operativo.
• No se puede construir xmlrpc con expat (parseador de XML).
• Fallo de segmento en la función de apagado después de un error de límite de memoria.
• posix_getgrnam no imprime los detalles del grupo.

Más información

·        Certsi  https://www.incibe-cert.es/alerta-temprana/avisos-sci

Fuente: INCIBE

IBM. Múltiples vulnerabilidades en WebSphere Application Server de IBM Cloud

IBM ha publicado un boletín de seguridad describiendo múltiples vulnerabilidades que afectan a IBM WebSphere Application Server perteneciente a IBM Cloud, catalogada de Importancia: 5 - Crítica

Recursos afectados:

Esta vulnerabilidad afecta a las siguientes versiones de IBM WebSphere Application Server:

·        Liberty

·        Versión 9.0

·        Versión 8.5

Recomendación

Para corregir una instancia de servicio existente, se debe abrir el aviso de la vulnerabilidad específica que aparece listada en la sección Remediation/Fixes del boletín de seguridad desde https://www-01.ibm.com/support/docview.wss?uid=ibm10734167 y seguidamente aplicar los pasos descritos en dicha sección. Alternativamente, eliminar la instancia de servicio vulnerable y crear una nueva instancia.

Detalle de vulnerabilidades:

Las vulnerabilidades descritas son las siguientes:

1)   IBM WebSphere Application Server podría permitir a un atacante remoto ejecutar código Java arbitrario a través del conector SOAP (Simple Object Access Protocol) con un objeto serializado de fuentes no confiables. Se ha asignado el identificador CVE-2018-1567 para esta vulnerabilidad.

2)   Apache MyFaces y Oracle Mojarra podrían permitir a un atacante remoto ejecutar código arbitrario en el sistema, causado por una configuración incorrecta de ViewState. Si ViewState está configurado para utilizar información de estado no cifrada, un atacante podría explotar esta vulnerabilidad para ejecutar cualquier código que resida en el classpath del servidor.

3)   Las instalaciones de IBM WebSphere Application Server que utilizan Form Login podrían permitir que un atacante remoto realizara ataques de spoofing. Se ha asignado el identificador CVE-2018-1695 para esta vulnerabilidad.

4)   IBM WebSphere Application Server podría proporcionar una seguridad más débil de lo esperado bajo ciertas condiciones. Esto podría resultar en un ataque de downgrade del protocolo TLS. Un atacante remoto podría explotar esta vulnerabilidad para realizar ataques man-in-the-middle. Se ha asignado el identificador CVE-2018-1719 para esta vulnerabilidad.

5)   WebSphere Application Server Liberty podría permitir a un atacante remoto obtener información confidencial, causada por un transporte incorrecto cuando Liberty está configurado para utilizar JASPIC (Java Authentication SPI for Containers). Esto puede ocurrir cuando el servidor de aplicaciones está configurado para permitir el acceso en un puerto no seguro (http) y utilizando autenticación JASPIC o JSR375. Se ha asignado el identificador CVE-2018-1755 para esta vulnerabilidad.

6)   IBM WebSphere Application Server Liberty podría permitir a un atacante remoto obtener información confidencial, causada por el fallo en la encriptación de la comunicación ORB (Object Request Broker). Se ha asignado el identificador CVE-2018-1683 para esta vulnerabilidad.

7)   IBM WebSphere Application Server en IBM Cloud podría permitir a un atacante remoto obtener información confidencial causada por el manejo inadecuado de contraseñas. Se ha asignado el identificador CVE-2018-1838 para esta vulnerabilidad.

Más información

• Security Bulletin: Multiple security vulnerabilities affect IBM WebSphere Application Server in IBM Cloud https://www-01.ibm.com/support/docview.wss?uid=ibm10734167

Fuente: INCIBE

JUNIPER. Múltiples vulnerabilidades en productos de la firma

Juniper ha publicado 15 vulnerabilidades en varios de sus productos, de las cuales 10 son de severidad alta y 5 de severidad media.Importancia: 4 - Alta

Recursos afectados:

·        Junos OS múltiples versiones (para ver detalle consulte la sección Referencias)

·        Junos Space Network Management Platform versiones anteriores a 18.2R1

·        Junos Space Security Director versiones anteriores a 17.2R1

Recomendación

·        Actualizar los productos afectados desde el sitio: https://www.juniper.net/support/downloads/

Detalle de vulnerabilidades

Las vulnerabilidades de severidad alta pueden derivar en:

·        Acceso remoto no autorizado. Para la vulnerabilidad con el identificador asignado: CVE-2018-0044.

·        Robo de información. Para la vulnerabilidad con el identificador asignado: CVE-2018-0047.

·        Cross-site Scripting. Para la vulnerabilidad con el identificador asignado: CVE-2018-0046.

·        Denegación de servicio. Para las vulnerabilidades con los identificadores asignados: CVE-2018-0043, CVE-2018-0045, CVE-2018-0048, CVE-2018-0049, CVE-2018-0050, CVE-2018-0051 y CVE-2018-0052.

·        Para las demás vulnerabilidades se han asignado los siguientes identificadores: CVE-2018-0053, CVE-2018-0054, CVE-2018-0055, CVE-2018-0056 y CVE-2018-0057.

Más información

·        Certsi https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/multiples-vulnerabilidades-productos-juniper-4

Fuente: INCIBE

JOOMLA. Actualización de seguridad versión 3.8.13

Joomla ha publicado una actualización de su CMS, que soluciona varias vulnerabilidades que podrían permitir a un atacante que realizara un CSRF, autorizaciones que requieran privilegios de admin u obtener un nivel de acceso no autorizado, catalogada  Importancia: 2 - Baja

Recursos afectados:

·        Joomla! CMS, versiones desde la 1.5.0 hasta la 3.8.12

Recomendación

·        Actualizar a la versión 3.8.13 de Joomla! desde el enlace https://downloads.joomla.org/

Detalle de vulnerabilidades

Las vulnerabilidades solucionadas son las siguientes, todas en el núcleo de Joomla!:

·        Securización contra CSRF en com_installer

·        Violación de ACL en com_users en el proceso de verificación del administrador

·        Violación del nivel de acceso en com_tags

·        Nivel de acceso predeterminado inadecuado para com_joomlaupdate

·        Securización del formulario de contactos com_contact

Se han reservado los siguientes identificadores para las citadas vulnerabilidades: CVE-2018-17858, CVE-2018-17855, CVE-2018-17857, CVE-2018-17856 y CVE-2018-17859.

Fuente: INCIBE

SAP Actualización de seguridad de octubre 2018

SAP ha publicado varias actualizaciones de seguridad de diferentes productos en su comunicado mensual, catalogada de  Importancia: 4 - Alta

Recursos afectados:

·        SAP BusinessObjects Business Intelligence Platform, versiones 4.1 y 4.2.

·        SAP Business Client, versión 6.5.

·        Proyecto Gardener, versión 0.12.2.

·        SAP Plant Connectivity, versiones 15.0, 15.1 y 15.2.

·        SAP Records Management, versiones 7.0 a 7.02, 7.10, 7.11, 7.30, 7.31, 7.40, 7.50 y 7.51.

·        SAP HANA, versiones 1.0 y 2.0.

·        SAP Netweaver Application Server para ABAP, versiones desde 7.0 hasta 7.02, 7.30, 7.31, 7.40 y desde 7.50 hasta 7.53.

·        SAP BusinessObjects Business Intelligence Platform, versiones 4.10 y 4.20.

·        SAP Data Services, versión 4.2.

·        SAP Plant Connectivity, versión 15.0.

·        SAP BusinessObjects BI Platform Servers (Software Development Kit), versiones 4.1 y 4.2.

·        SAP Adaptive Server Enterprise (ASE), versiones 15.7 y 16.0.

·        SAP Fiori 1.0 para SAP ERP HCM (Approve Leave Request, versión 2), versión 1.0.

·        SAP Fiori 1.0 para SAP ERP HCM (Approve Leave Request, versión 2), versión 1.0.

·        SAP Adaptive Server Enterprise (ASE), versiones 15.7 y 16.0.

Recomendación

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle de vulnerabilidades

SAP, en su comunicación mensual de parches de seguridad, ha emitido un total de 15 notas de seguridad, de las cuales 4 son actualizaciones de notas de seguridad publicadas con anterioridad (repartidas entre una de severidad crítica, 2 de severidad alta y una de severidad media), 1 de severidad crítica, 2 de severidad alta y 8 de severidad media.

El tipo de vulnerabilidades publicadas se corresponde a los siguientes:

• 3 vulnerabilidades de divulgación de información.
• 1 vulnerabilidad de actualizaciones de seguridad para el control del navegador Chromium.
• 1 vulnerabilidad de aislamiento incorrecto de la red.
• 1 vulnerabilidad de denegación de servicio.
• 1 vulnerabilidad de aprovechamiento de privilegios.
• 2 vulnerabilidades de validación incorrecta de XML.
• 3 vulnerabilidades de Cross-Site Scripting.
• 1 vulnerabilidad de divulgación de ruta de archivo.
• 2 vulnerabilidades de Cross-Site Request Forgery.

Las vulnerabilidades más relevantes son las siguientes:

1)   SAP BusinessObjects BI Suite tiene una vulnerabilidad de divulgación de información. Un atacante puede usarlo para revelar información adicional (datos del sistema, información de depuración, etc.) que le ayudaría a conocer el sistema y planificar otros ataques. Se ha asignado el identificador CVE-2018-2471 para esta vulnerabilidad.

2)   El proyecto Gardener tiene una vulnerabilidad de aislamiento incorrecto de la red, lo que puede permitir que un atacante actuando como administrador en un shoot cluster comprometa el seed cluster correspondiente u otros seed clusters controlados por este seed cluster. Se ha asignado el identificador CVE-2018-2475 para esta vulnerabilidad.

3)   SAP Plant Connectivity (PCo) tiene una vulnerabilidad de denegación de servicio (DoS) que podría permitir a un atacante finalizar un proceso del componente vulnerable. Se han asignado los identificadores CVE-2018-12585 y CVE-2018-12086 para esta vulnerabilidad.

El resto de identificadores CVE presentes en el informe mensual de octubre de 2018 de SAP son: CVE-2018-2465, CVE-2018-2470, CVE-2018-2472, CVE-2018-2466, CVE-2017-12069, CVE-2018-2467, CVE-2018-2469, CVE-2018-2474, CVE-2018-2474 y CVE-2018-2468.

Más información

• Certsi  https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-octubre-2018

Fuente: INCIBE

VMWARE. Vulnerabilidad de denegación de servicio

VMware ESXi, Workstation y Fusion tienen una vulnerabilidad de denegación de servicio debido a un bucle infinito en un sombreador de renderizado 3D, catalogada de Importancia: 4 - Alta

Recursos afectados:

• VMware vSphere ESXi (ESXi) cualquier versión y para cualquier plataforma.
• VMware Workstation Pro / Player (Workstation) cualquier versión y para cualquier plataforma.
• VMware Fusion Pro, Fusion (Fusion) cualquier versión de OS X.

Recomendación

VMware no ha publicado ningún parche para solucionar el problema, recomienda desactivar la función de aceleración 3D.

• ESXi no lo tiene habilitado de forma predeterminada.
• Workstation y Fusion lo tiene habilitado de forma predeterminada. https://kb.vmware.com/s/article/59146

Detalle de vulnerabilidades

VMware ESXi, Workstation y Fusion tienen una vulnerabilidad de denegación de servicio debido a un bucle infinito en un sombreador de renderizado 3D, por la cual un atacante podría proporcionar un archivo de sombreado especialmente diseñado (ya sea en forma binaria o de texto) para activarla. Esta vulnerabilidad se puede desencadenar desde el invitado de VMware viéndose el host de VMware afectado (lo que hace que el proceso vmware-vmx.exe se bloquee en el host). Se ha asignado el identificador CVE-2018-6977 para esta vulnerabilidad.

Más información

·        VMSA-2018-0025 https://www.vmware.com/security/advisories/VMSA-2018-0025.html

·        VMware Workstation 14 Shader Functionality Assert Denial Of Service https://www.talosintelligence.com/vulnerability_reports/TALOS-2018-0589

Fuente: INCIBE

INTEL. Múltiples vulnerabilidades en productos de la firma

Intel ha publicado varias vulnerabilidades de severidades media y alta, que afectan a varios de sus productos, catalogadas de Importancia: 4 - Alta

Recursos afectados:

·        Intel® RAID Web Console para Windows, versión 3 y anteriores

·        Intel® NUC Firmware Kits, descargado antes del 24 de mayo de 2018

·        Intel® Graphics Drivers, versiones anteriores a 10.18.x.5056 (15.33.x.5056), 10.18.x.5057 (15.36.x.5057) y 20.19.x.5058 (15.40.x.5058)

·        Intel® Client NVMe, versión 4.0.0.1006 y anteriores.

·        Datacenter NVMe, versión 4.0.0.1006 y anteriores.

·        Intel® RSTe, versión 4.7.0.2082 y anteriores

·        Intel® Server Board S7200AP Family, versiones de firmware anteriores a R01.03.0018

·        Intel® Compute Module HNS7200AP Family, versiones de firmware anteriores a R01.03.0018

·        Intel® Server Board S7200APR Family, versiones de firmware anteriores a R01.03.0018

·        Intel® Compute Module HNS7200APR Family, versiones de firmware anteriores a R01.03.0018

Los siguientes productos con versión de firmware anterior a 00.01.0014 también están afectados:

·        Intel® Server Board S2600BP Family

·        Intel® Compute Module HNS2600BP Family

·        Intel® Server System H2000G Family

·        Intel® Server Board S2600WF Family

·        Intel® Server System R2000WF Family

·        Intel® Server System R1000WF Family

·        Intel® Server Board S2600ST Family

·        Intel® Server Board S2600BPR Family

·        Intel® Compute Module HNS2600BPR Family

·        Intel® Server System H2000GR Family

·        Intel® Server Board S2600WFR Family

·        Intel® Server System R2000WFR Family

·        Intel® Server System R1000WFR Family

·        Intel® Server Board S2600STR Family

Recomendación

Actualizar los productos afectados desde: https://downloadcenter.intel.com/es

Detalle de vulnerabilidades

Un atacante que aprovechara alguna de las vulnerabilidades publicadas podría llegar a realizar alguna de las siguientes acciones:

·        Escalada de privilegios

·        Denegación de servicio

·        Acceso no autorizado a información

Se han reservado los siguientes identificadores para las vulnerabilidades: CVE-2018-12173, CVE-2018-12161,  CVE-2018-12158, CVE-2018-12152,  CVE-2018-12153, CVE-2018-12154, CVE-2018-12131 y CVE-2018-12172.

Más información

·        Certsi  https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/multiples-vulnerabilidades-productos-intel-3

Fuemte: INCIBE

MICROSOFT. Boletín de seguridad de octubre de 2018

La publicación de actualizaciones de seguridad de Microsoft este mes consta de 48 vulnerabilidades, 12 clasificadas como críticas y 36 como importantes, siendo el resto de severidad media o baja, catalogada de Importancia: 5 - Crítica

Recursos afectados:

·        Internet Explorer

·        Microsoft Edge

·        Microsoft Windows

·        Microsoft Office y Microsoft Office Services y Web Apps

·        ChakraCore

·        .NET Core

·        PowerShell Core

·        SQL Server Management Studio

·        Microsoft Exchange Server

·        Azure IoT Edge

·        Hub Device Client SDK for Azure IoT

Recomendación

Instalar la actualización de seguridad correspondiente. En la página de información de instalación de las mismas actualizaciones, se informa de los distintos métodos para llevarlas a cabo.

Detalle de vulnerabilidades

El tipo de vulnerabilidades publicadas se corresponde a las siguientes:

1.    Ejecución remota de código.

2.    Revelación de información.

3.    Elevación de privilegios.

4.    Evasión de seguridad.

Más información

·        Certsi https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/boletin-seguridad-microsoft-octubre-2018

Fuente: INCIBE

WORDPRESS. Escalada de privilegios con WooCommerce

Un conjunto de vulnerabilidades en WordPress y WooCommerce permiten una escalada de privilegios que podría afectar a los más de 4 millones de usuarios de este plugin de WordPress.

WooCommerce es un complemento de comercio electrónico muy popular para WordPress, instalado por alrededor de 4 millones de usuarios y desarrollado por Automattic. La vulnerabilidad está relacionada con el método en el que interactúa el plugin WooCommerce con WordPress, permitiendo a un atacante con acceso a una cuenta de administrador de la tienda (Shop Manager) hacerse con el control del sitio web completo.  La primera alerta se dió a finales de octubre en las notas de la última versión de WooCommerce, informando de que las versiones 3.4.5 y anteriores permitían a un administrador de la tienda malintencionado realizar una escalada de privilegios y hacerse con el control del sitio web. Esta semana, la compañía de seguridad de RIPS-Tech publicó los resultados de la investigación realizada por Simon Scannell en la que se descubrió el modo en el que dichos administradores de WooCommerce podían aprovechar la vulnerabilidad del plugin para controlar el sitio WordPress completo.

En primer lugar, el administrador de la tienda de WooCommerce puede editar los datos de los usuarios. Para ello, WordPress le asigna la capacidad “edit_users” y limita sus privilegios mediante un filtro especial de metadatos que sólo se aplica mientras el plugin WooCommerce esté activo. Esto significa que si WooCommerce es deshabilitado, la verificación de privilegios que impide a los administradores de la tienda editar los datos de cualquier usuario del sitio WordPress no se produce, permitiendo que puedan incluso modificar la contraseña de la cuenta del administrador para luego acceder como tal y controlar el sitio completo. El problema es que los roles de los usuarios se almacenan en la base de datos y existen incluso si el plugin está deshabilitado.

El problema estriba en que, en las versiones 3.4.5 y anteriores de WooCommerce, los administradores de la tienda además pueden eliminar archivos. Este defecto de forma aislada supondría el riesgo de que un atacante pudiese borrar el sitio web, generando una situación similar a un ataque DoS. Generalmente, este tipo de vulnerabilidades de eliminación arbitraria de archivos no se consideran críticas, pero dado que la eliminación de ciertos archivos del plugin puede deshabilitarlo permitiendo así la modificación de la contraseña del administrador del sitio, esta cadena de ataque se convierte en un riesgo de seguridad crítico.

Por lo tanto, un administrador de la tienda malintencionado (o un atacante que haya obtenido sus datos de acceso mediante phishing o algún otro tipo de fraude) podría eliminar el archivo “woocommerce.php”, con lo que WordPress deshabilitaría inmediatamente el plugin. En este momento, el administrador de la tienda quedaría liberado de la limitación del filtro especial de metadatos manteniendo su capacidad de editar usuarios, incluidos los datos del administrador del sitio WordPress, haciéndose con el control del sitio web completo.

Actualmente se ha resuelto de forma parcial la vulnerabilidad en la versión 3.4.6 de WooCommerce, que apareció el 11 de octubre, limitando la capacidad de modificar los usuarios por parte del administrador de la tienda a sólo aquellos que tienen la función de cliente de forma predeterminada y añadiendo una lista blanca de funciones que se puedan editar de esta forma.

Los plugins de WordPress continúan siendo su talón de Aquiles.

Fuente: Hispasec

Paquetes maliciosos en el repositorio de python PyPI

Se ha descubierto un total de 12 librerías maliciosas en el repositorio de Python PyPI, subidas al repositorio, usando técnicas de ‘Typosquatting’ con del popular framework de desarrollo web Django.

PyPI (Python Package Index) es el repositorio de librerías de Python por excelencia. El repositorio permite la descarga e instalación de los paquetes necesarios para nuestros proyectos de desarrollo de forma fácil y cómoda.

La forma de instalar los paquetes que tiene PyPI es utilizando sentencia:

python pip install

Donde será sustituido por el paquete que queramos instalar en nuestro proyecto.

La forma en la que los atacantes alojan código malicioso en este tipo de repositorios no es comprometiendo un paquete legítimo, sino poniendo en los repositorios oficiales paquetes fraudulentos. Para realizar este tipo de ataques se utiliza (descarga) el paquete oficial como base, y partiendo desde aquí, se va añadiendo el código malicioso, y una vez terminado, se sube al repositorio oficial con nombres similares al original. A modo de ejemplo, los paquetes encontrados fueron: ‘Diango’, ‘Djago’, ‘Dajngo’, ‘Djanga’ que fueron creados para suplantar al paquete ‘Django’.

El ataque utilizado es el denominado ‘Typosquatting’ que consiste en la utilización de nombres similares, pero con algún error ortográfico al que se quiere suplantar esperando un error tipográfico por parte de los desarrolladores.

Los paquetes han sido detectados por un investigador con el seudónimo ‘Bertus’, el cual utilizó un sistema de escaneo automatizado que creó él mismo.

Actualmente los paquetes detectados han sido eliminados del repositorio PyPI.

Fuente: Hispasec