Tres nuevos avisos de seguridad
Índice
- Vulnerabilidad de divulgación de información en productos de Check Point
- Cross-Site Scripting almacenado en OpenCMS de Alkacon
- Múltiples vulnerabilidades en Astrotalks
Vulnerabilidad de divulgación de información en productos de Check Point
- Security Gateway y CloudGuard Network Security:
- R81.20;
- R81.10;
- R81;
- R80.40.
- Quantum Maestro y Quantum Scalable Chassis:
- R81.20;
- R81.10;
- R80.40;
- R80.30SP;
- R80.20SP.
- Quantum Spark Gateways:
- R81.10.x;
- R80.20.x;
- R77.20.x.
Existe una vulnerabilidad 0day de divulgación de información en Check Point VPN. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante remoto obtener información sensible, omitir restricciones de seguridad y acceder a servicios VPN en sistemas que requieren el uso de contraseñas únicamente como método de autenticación, particularmente para cuentas locales.
Check Point ha lanzado una solución (hotfix), como medida preventiva, para hacer frente a los intentos de acceso remoto no autorizado.
Adicionalmente, el fabricante aporta una serie de recomendaciones:
- Cambiar la contraseña de la cuenta del Security Gateway en Active Directory.
- Evitar que las cuentas locales se conecten a la VPN con autenticación por contraseña.
- Verificar el uso de protocolos seguros (OpenVPN, IPsec...).
- Implementar mecanismos de autenticación múltiple (MFA).
- Filtrar tráfico VPN mediante el uso de firewalls.
La vulnerabilidad podría permitir a un atacante enumerar y extraer hashes de contraseñas para todas las cuentas locales, incluida la cuenta utilizada para conectarse a Active Directory.
Se tiene constancia de la existencia de una prueba de concepto (PoC) asociada a esta vulnerabilidad, así como de la explotación activa de la misma.
Se ha asignado el identificador CVE-2024-24919 para esta vulnerabilidad.
Cross-Site Scripting almacenado en OpenCMS de Alkacon
OpenCMS, versión 16.
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad media, que afectan a OpenCMS, versión 16, un gestor de contenido de código abierto basado en Java y en tecnología XML, las cuales han sido descubiertas por Miguel Segovia Gil.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE- CVE-2024-5520: 6.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N | CWE-79
- CVE- CVE-2024-5521: 6.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N | CWE-79
La vulnerabilidad de Cross-Site Scripting a través del campo “title” ha sido solucionada en la versión 17.
Sin embargo, el fabricante ha afirmado que la vulnerabilidad de Cross-Site Scripting a través de imágenes en formato .svg, no será solucionada porque filtrar el código JavaScript de archivos .svg podría traer efectos no deseados.
Dos vulnerabilidades de Cross-Site Scripting almacenado han sido descubiertas en OpenCMS de Alkacon afectando a la versión 16, las cuales podrían permitir a un usuario:
- CVE-2024-5520: con suficientes privilegios para crear y modificar las páginas webs a través del panel de administración, puede ejecutar código JavaScript malicioso, tras insertar el código en el campo “title”.
- CVE-2024-5521: que tenga los roles de editor de galería o gestor de recursos VFS, tendrá el permiso de subir imágenes en el formato .svg que contengan código JavaScript. El código se ejecutará en el momento en el que otro usuario acceda a la imagen.
Múltiples vulnerabilidades en Astrotalks
Astrotalks, versión 03/10/2023.
INCIBE ha coordinado la publicación de 3 vulnerabilidades, de severidad alta, que afectan a Astrotalks, versión 03/10/2023, plataforma web dedicada a la astrología, las cuales han sido descubiertas por David Utón Amaya.
A estas vulnerabilidades se le han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2024-5523: 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-89
- CVE-2024-5524: 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N | CWE-200
- CVE-2024-5525: 8.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L | CWE-269
Las vulnerabilidades han sido solucionadas en las nuevas versiones.
- CVE-2024-5523: vulnerabilidad de inyección SQL en Astrotalks que afecta a la versión 10/03/2023. Esta vulnerabilidad podría permitir que un usuario local autenticado envíe una consulta SQL especialmente diseñada al parámetro 'searchString' y recupere toda la información almacenada en la base de datos.
- CVE-2024-5524: vulnerabilidad de exposición de información en Astrotalks que afecta a la versión 10/03/2023. Esta vulnerabilidad permite a usuarios no registrados acceder a todos los enlaces internos de la aplicación sin necesidad de proporcionar ninguna credencial.
- CVE-2024-5525: vulnerabilidad de gestión de privilegios inadecuada en Astrotalks que afecta a la versión 10/03/2023. Esta vulnerabilidad permite que un usuario local acceda a la aplicación como administrador sin ninguna credencial proporcionada, lo que permite al atacante realizar acciones administrativas.