Cuatro nuevos avisos de seguridad
Índice
- Múltiples vulnerabilidades en productos de Citrix
- Actualizaciones de seguridad de Microsoft de julio de 2024
- Blast-RADIUS: omisión de autenticación en protocolo RADIUS
- Actualización de seguridad de SAP de julio de 2024
Múltiples vulnerabilidades en productos de Citrix
La siguiente versión compatible de NetScaler Console (anteriormente NetScaler ADM) se ve afectada por CVE-2024-6235:
- Consola NetScaler 14.1 anterior a 14.1-25.53.
Las siguientes versiones compatibles de NetScaler Console, NetScaler Agent y NetScaler SVM se ven afectadas por CVE-2024-6236:
- Consola NetScaler 14.1 anterior a 14.1-25.53;
- Consola NetScaler 13.1 anterior a 13.1-53.22;
- Consola NetScaler 13.0 anterior a 13.0-92.31;
- NetScaler SVM 14.1 anterior a 14.1-25.53;
- NetScaler SVM 13.1 anterior a 13.1-53.17;
- NetScaler SVM 13.0 anterior a 13.0-92.31;
- Agente NetScaler 14.1 anterior a 14.1-25.53;
- Agente NetScaler 13.1 anterior a 13.1-53.22;
- Agente NetScaler 13.0 anterior a 13.0-92.31.
Citrix ha publicado 2 vulnerabilidades de severidades crítica y alta, que podrían provocar una divulgación de información sensible o permitir denegación del servicio.
Se recomienda actualizar a las siguientes versiones lo antes posible:
- NetScaler Console 14.1-25.53 y versiones posteriores de 14.1;
- NetScaler Console 13.1-53.22 y versiones posteriores de 13.1;
- NetScaler Console 13.0-92.31 y versiones posteriores de 13.0;
- NetScaler SVM 14.1-25.53 y versiones posteriores de 14.1;
- NetScaler SVM 13.1-53.17 y versiones posteriores de 13.1;
- NetScaler SVM 13.0-92.31 y versiones posteriores de 13.0;
- NetScaler Agent 14.1-25.53 y versiones posteriores de 14.1;
- NetScaler Agent 13.1-53.22 y versiones posteriores de 13.1;
- NetScaler Agent 13.0-92.31 y versiones posteriores de 13.0;
La vulnerabilidad de severidad crítica detectada se debe a una autenticación incorrecta que, tras tener acceso a la IP de la consola NetScaler, podría derivar en una divulgación de información sensible. Se ha asignado el identificador CVE-2024-6235 para esta vulnerabilidad.
Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2024-6236.
Actualizaciones de seguridad de Microsoft de julio de 2024
- .NET and Visual Studio
- Active Directory Federation Services
- Azure CycleCloud
- Azure DevOps
- Azure Kinect SDK
- Azure Network Watcher
- Line Printer Daemon Service (LPD)
- Microsoft Defender for IoT
- Microsoft Dynamics
- Microsoft Graphics Component
- Microsoft Office
- Microsoft Office Outlook
- Microsoft Office SharePoint
- Microsoft Streaming Service
- Microsoft Windows Codecs Library
- Microsoft WS-Discovery
- NDIS
- Role: Active Directory Certificate Services; Active Directory Domain Services
- Role: Windows Hyper-V
- SQL Server
- Windows BitLocker
- Windows COM Session
- Windows CoreMessaging
- Windows Cryptographic Services
- Windows DHCP Server
- Windows Distributed Transaction Coordinator
- Windows Enroll Engine
- Windows Fax and Scan Service
- Windows Filtering
- Windows Image Acquisition
- Windows Internet Connection Sharing (ICS)
- Windows iSCSI
- Windows Kernel
- Windows Kernel-Mode Drivers
- Windows LockDown Policy (WLDP)
- Windows Message Queuing
- Windows MSHTML Platform
- Windows MultiPoint Services
- Windows NTLM
- Windows Online Certificate Status Protocol (OCSP)
- Windows Performance Monitor
- Windows PowerShell
- Windows Remote Access Connection Manager
- Windows Remote Desktop
- Windows Remote Desktop Licensing Service
- Windows Secure Boot
- Windows Server Backup
- Windows TCP/IP
- Windows Themes
- Windows Win32 Kernel Subsystem
- Windows Win32K - GRFX
- Windows Win32K - ICOMP
- Windows Workstation Service
- XBox Crypto Graphic Services
La publicación de actualizaciones de seguridad de Microsoft, correspondiente a la publicación de vulnerabilidades del 10 de julio, consta de 139 vulnerabilidades (con CVE asignado), calificada 4 como críticas, 115 como importantes y el resto divididas entre moderadas y bajas.
Instalar la actualización de seguridad correspondiente. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.
Las vulnerabilidades de severidad crítica publicadas se les asignaron los siguientes indicadores:
- CVE-2024-38076: se trata de una vulnerabilidad de ejecución de código remoto que afecta a Windows Remote Desktop;
- CVE-2024-38089: se trata de una vulnerabilidad de elevación de privilegios que afecta a Microsoft Defender for IoT;
- CVE-2024-38077 y CVE-2024-38074: ambas de ejecución de código en remoto y afectan al mismo producto, Windows Remote Desktop Licensing Service.
Los códigos CVE asignados a las vulnerabilidades no críticas reportadas pueden consultarse en las referencias.
Blast-RADIUS: omisión de autenticación en protocolo RADIUS
Blast-RADIUS es una vulnerabilidad de protocolo que afecta a todas las implementaciones de RADIUS que utilicen métodos de autenticación no EAP sobre UDP.
CERT/CC ha publicado un aviso recogiendo información sobre esta vulnerabilidad, así como un listado con los fabricantes afectados, que puede consultarse en las referencias.
El ataque Blast-RADIUS, descubierto por varios investigadores, podría permitir a un atacante infiltrado entre el cliente y el servidor RADIUS (man-in-the-middle) falsificar un mensaje de aceptación de protocolo válido en respuesta a una solicitud de autenticación fallida. Esta falsificación podría otorgar al atacante acceso a los dispositivos y servicios de red sin que sea necesario emplear ataques de adivinación o de fuerza bruta sobre las contraseñas, ya que el atacante no conoce las credenciales de la víctima.
- Actualizar RADIUS para emplear RADIUS sobre TLS (RADSEC), empleando así un canal de comunicación cifrado y autenticado.
- Clientes y servidores deben enviar y solicitar los atributos Message-Authenticator para todas las peticiones y las respuestas. Para las respuestas Access-Accept o Access-Reject, debe incluirse Message-Authenticator como primer atributo.
- Evitar el envío de tráfico RADIUS/UDP o RADIUS/TCP sin restricciones a través de Internet pública. En redes internas una buena práctica es aislar el tráfico RADIUS en una VLAN con gestión de acceso restringido o tunelizarlo a través de TLS o IPsec.
El ataque Blast-RADIUS combina una nueva vulnerabilidad en el protocolo RADIUS con un ataque por colisión de prefijos elegidos MD5. El atacante inyecta un atributo malicioso en una solicitud que provoca una colisión entre la información de autenticación de la respuesta válida del servidor y la falsificación deseada por el atacante. Esto permite al atacante convertir un rechazo en una aceptación y añadir atributos de protocolo arbitrarios.
Un atacante que explote este ataque podría escalar privilegios desde un acceso parcial a la red hasta poder iniciar sesión en cualquier dispositivo que utilice RADIUS para la autenticación o asignarse a sí mismo privilegios de red arbitrarios.
Se ha asignado el identificador CVE-2024-3596 para esta vulnerabilidad.
Actualización de seguridad de SAP de julio de 2024
- SAP PDCE;
- SAP Commerce.
El resto de productos afectados por vulnerabilidades, cuya severidad no es alta, pueden consultarse en las referencias.
SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.
Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.
SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 16 notas de seguridad: 2 de severidad alta, 13 de severidad media y 1 baja. También se han actualizado 2 notas de seguridad media de meses anteriores.
Los tipos de vulnerabilidades nuevas publicadas, cuya severidad es alta, son:
- falta de autorización;
- autorización indebida.
CVE-2024-39592: SAP PDCE no realiza las comprobaciones de autorización necesarias para un usuario autenticado, lo que podría provocar una escalada de privilegios. Esto permitiría a un atacante leer información sensible causando un alto impacto en la confidencialidad de la aplicación.
CVE-2024-34688: en SAP Commerce, un usuario podría utilizar maliciosamente la funcionalidad de contraseña olvidada para obtener acceso a un sitio B2B de Composable Storefront para el que esté activado el inicio de sesión anticipado y el registro, sin que el comerciante tenga que aprobar la cuenta de antemano. Si el sitio no está configurado como sitio aislado, esto también podría permitir el acceso a otros sitios de inicio de sesión anticipado no aislados, incluso si el registro no está activado para esos otros sitios.