Cinco nuevos avisos de seguridad
Actualización de seguridad de SAP de noviembre de 2023
- SAP Business One, versión 10.0.
El resto de productos afectados por vulnerabilidades, no críticas, se pueden consultar en las referencias.
SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.
Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.
SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 3 notas de seguridad, 1 de severidad crítica y 2 medias. También, se han actualizado 3 notas se seguridad de meses anteriores.
Los tipos de vulnerabilidades nuevas publicadas son:
- control de acceso inadecuado,
- divulgación de información.
La vulnerabilidad de severidad crítica que afecta a SAP Business One es de control de acceso inadecuado, causada por el proceso de instalación del producto. El proceso permite a los usuarios anónimos leer y escribir en la carpeta compartida SMB. Los componentes afectados son: la carpeta compartida Crystal Report (CR), la aplicación Traditional Mobile (ruta de archivos adjuntos), RSP (lógica de carpeta de registro), y Job Service y BAS (carpeta de carga de archivos). Se ha asignado el identificador CVE-2023-31403 para esta vulnerabilidad.
El resto de identificadores pueden consultarse en las referencias.
Múltiples vulnerabilidades en HPE Aruba Access Points
- ArubaOS 10.5.x.x: 10.5.0.0 y anteriores.
- ArubaOS 10.4.x.x: 10.4.0.2 y anteriores.
- InstantOS 8.11.x.x: 8.11.1.2 y anteriores.
- InstantOS 8.10.x.x: 8.10.0.8 y anteriores.
- InstantOS 8.6.x.x: 8.6.0.22 y anteriores.
- Todas las versiones de los siguientes productos sin mantenimiento:
- ArubaOS 10.3.x.x;
- InstantOS 8.9.x.x;
- InstantOS 8.8.x.x;
- InstantOS 8.7.x.x;
- InstantOS 8.5.x.x;
- InstantOS 8.4.x.x;
- InstantOS 6.5.x.x;
- InstantOS 6.4.x.x.
HPE ha publicado 14 vulnerabilidades que afectan a Aruba Access Points, 3 con severidad crítica, 9 altas y 2 medias. La explotación de estas vulnerabilidades podría permitir a un atacante comprometer la integridad del sistema afectado, ejecutar código y comandos arbitrarios, y realizar una denegación de servicio.
Actualizar a las siguientes versiones:
- ArubaOS 10.5.x.x: 10.5.0.1 y posteriores;
- ArubaOS 10.4.x.x: 10.4.0.3 y posteriores;
- InstantOS 8.11.x.x: 8.11.2.0 y posteriores;
- InstantOS 8.10.x.x: 8.10.0.9 y posteriores;
- InstantOS 8.6.x: 8.6.0.23 y posteriores.
Las vulnerabilidades críticas se describen a continuación:
- Se han identificado dos vulnerabilidades de desbordamiento de búfer en el servicio CLI que podrían conducir a la ejecución remota de código, no autenticado, mediante el envío de paquetes especialmente diseñados destinados al puerto UDP (8211) de PAPI (protocolo de gestión de puntos de acceso de Aruba). La explotación exitosa de estas vulnerabilidades podría permitir la ejecución de código arbitrario como un usuario privilegiado en el sistema operativo subyacente. Se han asignado los identificadores CVE-2023-45614 y CVE-2023-45615 para estas vulnerabilidades.
- Existe una vulnerabilidad de desbordamiento de búfer en el servicio AirWave Client que podría resultar en una ejecución remota de código, no autenticado, mediante el envío de paquetes especialmente diseñados destinados al puerto UDP de PAPI. Un atacante podría ejecutar código arbitrario como un usuario privilegiado en el sistema operativo afectado. Se ha asignado el identificador CVE-2023-45616 para esta vulnerabilidad.
El resto de identificadores CVE para las vulnerabilidades no críticas se pueden consultar en la referencia.
Omisión de autenticación en VMware Cloud Director Appliance
- VMware Cloud Director Appliance (VCD Appliance), versión 10.5, siempre y cuando haya sido actualizado desde las versiones 10.4.x o anteriores.
Dustin Hartle, de Ideal Integrations Inc, ha reportado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante omitir los mecanismos de autenticación del producto afectado.
- VMware Cloud Director Appliance, versiones:
- 10.5 (nueva instalación),
- 10.4.x y anteriores.
En una versión actualizada de VMware Cloud Director Appliance 10.5 un actor malicioso con acceso de red al dispositivo puede eludir las restricciones de inicio de sesión al autenticarse en el puerto 22 o el puerto 5480. Esta evasión no está presente en el puerto 443. En una instalación nueva de VMware Cloud Director Appliance 10.5 no se produce la omisión de autenticación.
Se ha asignado el identificador CVE-2023-34060 para la vulnerabilidad reportada.
Actualizaciones de seguridad de Microsoft de noviembre de 2023
- .NET Framework
- ASP.NET
- Azure
- Azure DevOps
- Microsoft Dynamics
- Microsoft Dynamics 365 Sales
- Microsoft Edge (Chromium-based)
- Microsoft Exchange Server
- Microsoft Office
- Microsoft Office Excel
- Microsoft Office SharePoint
- Microsoft Remote Registry Service
- Microsoft WDAC OLE DB provider for SQL
- Microsoft Windows Search Component
- Microsoft Windows Speech
- Open Management Infrastructure
- Tablet Windows User Interface
- Visual Studio
- Visual Studio Code
- Windows Authentication Methods
- Windows Cloud Files Mini Filter Driver
- Windows Common Log File System Driver
- Windows Compressed Folder
- Windows Defender
- Windows Deployment Services
- Windows DHCP Server
- Windows Distributed File System (DFS)
- Windows DWM Core Library
- Windows HMAC Key Derivation
- Windows Hyper-V
- Windows Installer
- Windows Internet Connection Sharing (ICS)
- Windows Kernel
- Windows NTFS
- Windows Protected EAP (PEAP)
- Windows Scripting
- Windows SmartScreen
- Windows Storage
La publicación de actualizaciones de seguridad de Microsoft, correspondiente a la publicación de vulnerabilidades del 14 de noviembre, consta de 63 vulnerabilidades (con CVE asignado), calificadas 2 como críticas, 48 como importantes y como 13 medias.
Instalar la actualización de seguridad correspondiente. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.
Las vulnerabilidades publicadas se corresponden con los siguientes tipos:
- denegación de servicio,
- escalada de privilegios,
- divulgación de información,
- ejecución remota de código,
- anulación de medidas de seguridad,
- suplantación de identidad (spoofing).
Esta actualización mensual de Microsoft corrige 3 vulnerabilidades 0day, todas ellas explotadas activamente:
- CVE-2023-36036: elevación de privilegios en el controlador del minifiltro de archivos en la nube de Windows;
- CVE-2023-36033: elevación de privilegios en la biblioteca central DWM de Windows;
- CVE-2023-36025: vulnerabilidad en la función de seguridad de Windows SmartScreen.
Los códigos CVE asignados a las vulnerabilidades reportadas pueden consultarse en las referencias.
Vulnerabilidad de escalada de privilegios en Intel Data Center Manager
- Software Intel® Data Center Manager, versiones anteriores a 5.2.
Julien Ahrens, de RCE Security, ha reportado una vulnerabilidad de severidad crítica, cuya explotación podría permitir una escalada de privilegios.
Intel recomienda actualizar el software Intel® DCM a la versión 5.2 o posterior.
Una posible vulnerabilidad de seguridad en el software Intel® Data Center Manager (DCM) podría permitir la elevación de privilegios. Intel está publicando actualizaciones de software para mitigar esta posible vulnerabilidad.
Se ha asignado el identificador CVE-2023-31273 para esta vulnerabilidad.
Adicionalmente, el fabricante ha publicado más avisos de seguridad no críticos que pueden consultarse en su página web.