Boletín de seguridad de Protege tu Empresa 12-01-2022

Actualización de seguridad en Adobe Acrobat y Reader

Fecha de publicación:

12/01/2022

Importancia:

4 - Alta

Recursos afectados:

Acrobat DC y Acrobat Reader DC versión 21.007.20099 y anteriores en Windows y macOS.
Acrobat 2020 Acrobat Reader 2020 versión 20.004.30017 y anteriores en Windows y macOS.
Acrobat 2017 y Acrobat Reader 2017 versión 17.011.30204 y anteriores en Windows y macOS.

Descripción:

Adobe ha corregido varias vulnerabilidades, dieciséis de ellas de severidad alta, que afectan a múltiples versiones de sus productos Adobe Acrobat y Reader.

Solución:

Adobe ha publicado varias actualizaciones que solucionan las vulnerabilidades:

Acrobat DC y Acrobat Reader DC actualizar a la versión 21.011.20039.
Acrobat 2020 y Acrobat Reader 2020 actualizar a la versión 20.004.30020.
Acrobat 2017 y Acrobat Reader 2017 actualizar a la versión 17.011.30207.

Es recomendable habilitar, siempre que sea posible, la actualización automática en estos productos para contar, además de con las últimas funcionalidades, con los parches que corrigen fallos de seguridad según se van descubriendo y publicando.

Importante: antes de hacer este tipo de acciones en entornos de producción es recomendable realizar las pruebas previas en entornos de preproducción para comprobar que todo funciona correctamente tras la actualización.

Es importante mantener tus sistemas y aplicaciones siempre actualizados:

¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la Línea gratuita de Ayuda en Ciberseguridad de INCIBE, 017; y nuestros canales de chat de WhatsApp (900 116 117) y Telegram (@INCIBE017), o mediante el formulario web.

Detalle:

Logo Adobe

Las vulnerabilidades de severidad alta podrían permitir a un ciberdelincuente la ejecución de código arbitrario en el equipo o realizar una escalada de privilegios.

Referencias:

Security update available for Adobe Acrobat and Reader | APSB22-01

Etiquetas:

Actualización

Adobe

Vulnerabilidad

Actualizaciones de seguridad de enero 2022 para productos SAP

Fecha de publicación:

12/01/2022

Importancia:

5 - Crítica

Recursos afectados:

Internet of Things Edge Platform
SAP BTP API Management (Tenant Cloning Tool)
SAP BTP Cloud Foundry
SAP BTP Kyma
SAP Business One
SAP Cloud for Customer (add-in for Lotus notes client)
SAP Cloud-to-Cloud
SAP Connected Health Platform 2.0 - Fhirserver
SAP Customer Checkout
SAP Digital Manufacturing Cloud for Edge Computing
SAP Edge Services Cloud Edition
SAP Edge Services On Premise Edition
SAP Enable Now Manager
SAP Enterprise
SAP HANA XS Advanced y SAP HANA XS Advanced Cockpit
SAP Landscape Management
SAP NetWeaver ABAP Server and ABAP Platform (Adobe LiveCycle Designer 11.0)
SAP NetWeaver AS ABAP, versiones - 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756
SAP NetWeaver Process Integration (Java Web Service Adapter)
SAP S/4HANA, versiones - 100, 101, 102, 103, 104, 105, 106

Descripción:

SAP ha publicado el boletín de seguridad de enero de 2022 con parches de seguridad para sus productos, algunos de las cuales resuelven vulnerabilidades de severidad alta y crítica. La mayoría de los parches publicados son consecuencia de versiones afectadas por las vulnerabilidades de Apache Log4j, recientemente publicadas. SAP recomienda aplicar los parches de seguridad a la mayor brevedad posible.

Solución:

Aplicar los parches de seguridad publicados por SAP desde la página web oficial de soporte, según las indicaciones del fabricante.

Recuerda la importancia de mantener tus sistemas y aplicaciones siempre actualizados:

Detalle:

Logo SAP

Los parches del boletín de seguridad son, en su mayoría, consecuencia de productos afectados por las vulnerabilidades de Apache Log4j, recientemente publicadas. Además se parchean otras dos vulnerabilidades: una de Cross-Site Scripting y una inyección de código en la app Create Single Payment de S/4HANA.

SAP analizó y parcheó las aplicaciones afectadas por las vulnerabilidades de Log4j. Durante este análisis, detectó otra vulnerabilidad diferente en SAP Landscape Management Enterprise Edition 3.0, causada por una versión más antigua de la biblioteca Log4j. Se parchea esta vulnerabilidad crítica de inyección de código causada por la versión 1.2 de Log4j. La biblioteca Log4j es también utilizada por el componente heredado SAP Crystal Reports, lo que permite a un atacante inyectar código que puede ser ejecutado por la aplicación, obteniendo así el control total de la misma. Este parche elimina completamente SAP Crystal Reports, a la vez que indica que la versión 1.2 de la biblioteca Log4j no está afectada por esta vulnerabilidad.
La aplicación Single Payment de S/4HANA permite realizar un pago directo a proveedores. La vulnerabilidad de Cross-Site Scripting consiste en que los archivos cargados y descargados no son comprobados por la aplicación, lo que permite a un atacante con derechos básicos de usuario ejecutar código script arbitrario, pudiendo dar lugar a la divulgación o modificación de información sensible.
La vulnerabilidad de inyección de código podría permitir a un atacante con derechos básicos de usuario inyectar contenido peligroso o código malicioso que podría dar lugar a la modificación de información crítica o comprometer completamente la disponibilidad de la aplicación.

Tu soporte técnico puede consultar una solución más detallada en el área de avisos de INCIBE-CERT.

Referencias:

SAP Security Patch Day – January 2022

SAP Security Patch Day January 2022: Log4j Causes Record-Breaking Number of HotNews Notes

Etiquetas:

Actualización

Vulnerabilidad

Boletín mensual de Microsoft - enero 2022

Fecha de publicación:

12/01/2022

Importancia:

5 - Crítica

Recursos afectados:

Microsoft .NET Framework versiones:
- 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8.
Windows 7 Service Pack 1 en versiones de 32 y 64 bits.
Windows Server 2008 Service Pack 2 en versiones de 32 y 64 bits.
Microsoft 365 en versiones de 32 y 64 bits.
Microsoft Office 2013, 2016, 2019, LTSC 2021.
Microsoft SharePoint 2013, 2016, 2019.
Windows 10 en sistemas de 32 y 64 bits.
Windows 11 en sistemas ARM64 y 64 bits.
Windows 8.1 en sistemas de 32 y 64 bits.
Windows Server 2012, 2012R2, 2016, 2019, 2022, 20H2.

Descripción:

El boletín mensual de enero de Microsoft detalla 127 vulnerabilidades, de las cuales 10 son de severidad crítica, 92 importantes, 1 media y 24 sin severidad asignada.

Solución:

En la mayor parte de los casos, el software afectado se actualizará automáticamente por defecto. No obstante, en el caso de que no se realizase dicha actualización de forma automática, Microsoft pone a disposición de los usuarios un portal web con toda la información relacionada, así como los parches de los productos afectados para descarga y que se puede consultar aquí: 'Guía de actualizaciones de seguridad de Microsoft.

Se recomienda actualizar lo antes posible el software afectado a la última versión y activar las actualizaciones automáticas en caso de que no se estén aplicando por defecto.

Las actualizaciones de Windows 10 son acumulativas. La versión mensual de seguridad incluye todas las correcciones de seguridad para las vulnerabilidades además de actualizaciones no relacionadas con la seguridad.

Los usuarios que tengan instalados Windows 7, Windows Server 2008 R2 o Windows Server 2008 necesitan adquirir el Extended Security Update para seguir recibiendo las actualizaciones de seguridad.

Recuerda la importancia de mantener tus sistemas y aplicaciones siempre actualizados:

¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram& @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la Línea gratuita de Ayuda en Ciberseguridad de INCIBE, 017; y nuestros canales de chat de WhatsApp (900 116 117) y Telegram (@INCIBE017), o mediante el formulario web.

Detalle:

Logo Windows

Las vulnerabilidades publicadas se corresponden con los siguientes tipos: denegación de servicio, ejecución remota de código, escalada de privilegios, omisión de características de seguridad, divulgación de información y suplantación de identidad.

Los fallos considerados como críticos podrían permitir a un ciberdelincuente ejecutar código de forma remota o realizar una escalada de privilegios.

Tu soporte tecnológico puede consultar una solución más técnica en el área de avisos de INCIBE CERT.

Referencias:

January 2022 Security Updates

Security Update Guide

Security update deployment information: January 11, 2022 (KB5010029)

Etiquetas: