Cuatro nuevos avisos de seguridad
Índice
- Actualizaciones de seguridad de Microsoft de abril de 2024
- Actualización de seguridad de SAP de abril de 2024
- Múltiples vulnerabilidades en productos de Fortinet
- Múltiples vulnerabilidades en UCA de HPE
Actualizaciones de seguridad de Microsoft de abril de 2024
- Windows BitLocker,
- Windows Secure Boot,
- Microsoft Office Outlook,
- Windows Remote Procedure Call,
- Azure Private 5G Core,
- Windows Kernel,
- Microsoft Defender para IoT,
- .NET and Visual Studio,
- Azure Compute Gallery,
- Windows Authentication Methods,
- Microsoft Install Service,
- Windows DWM Core Library,
- Windows Routing y Remote Access Service (RRAS),
- Windows Kerberos,
- Azure Migrate,
- Windows DHCP Server,
- Windows Remote Access Connection Manager,
- Windows Message Queuing,
- Windows Local Security Authority Subsystem Service (LSASS),
- Microsoft WDAC OLE DB proveedor de SQL,
- Microsoft Brokering File System,
- Microsoft WDAC ODBC Driver,
- Windows File Server Resource Management Service,
- Windows HTTP.sys,
- Windows Mobile Hotspot,
- Role: DNS Server,
- Windows Distributed File System (DFS),
- Windows Cryptographic Services,
- Windows Proxy Driver,
- Windows Update Stack,
- Windows Defender Credential Guard,
- Windows Win32K - ICOMP,
- Windows Telephony Server,
- Windows USB Print Driver,
- Microsoft Office SharePoint,
- Windows Internet Connection Sharing (ICS),
- Windows Virtual Machine Bus,
- Windows Compressed Folder,
- Microsoft Office Excel,
- SQL Server,
- Azure Arc,
- Microsoft Edge (basado en Chromium),
- Windows Storage,
- Azure AI Search,
- Role: Windows Hyper-V,
- Internet Shortcut Files,
- Azure Monitor,
- Microsoft Azure Kubernetes Service,
- Azure SDK,
- Azure.
La publicación de actualizaciones de seguridad de Microsoft, correspondiente a la publicación de vulnerabilidades del 9 de abril, consta de 149 vulnerabilidades (con CVE asignado), calificada 1 como crítica que afecta a Microsoft Azure Kubernetes Service, y el resto divididas entre severidades importantes, moderadas y bajas.
Instalar la actualización de seguridad correspondiente. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.
Las vulnerabilidades publicadas se corresponden con los siguientes tipos:
- escalada de privilegios,
- ejecución remota de código,
- denegación de servicio,
- divulgación de información,
- omisión de comprobación de seguridad,
- spoofing.
La vulnerabilidad crítica afecta a Microsoft Azure Kubernetes Service y es de control de acceso inadecuado (CVE-2024-29990).
Adicionalmente, Microsoft ha solucionado 2 vulnerabilidades 0day:
- CVE-2024-26234: spoofing en Proxy Driver.
- CVE-2024-29988: omisión de comprobación de seguridad en SmartScreen Prompt.
Los códigos CVE asignados a las vulnerabilidades no críticas reportadas pueden consultarse en las referencias.
Actualización de seguridad de SAP de abril de 2024
- SAP NetWeaver AS Java User Management Engine, en sus versiones versiones: SERVERCORE 7.50, J2EE-APPS 7.50 y UMEADMIN 7.50.
- SAP BusinessObjects Web Intelligence, versiones 4.2 y 4.3.
- SAP Asset Accounting, en sus versiones: SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_FIN617, SAP_FIN 618 y SAP_FIN700.
El resto de productos afectados por vulnerabilidades cuya severidad no es alta, pueden consultarse en las referencias.
SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.
Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.
SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 10 notas de seguridad: 3 de severidad alta y 7 medias. También, se han actualizado 2 notas se seguridad de meses anteriores.
Los tipos de vulnerabilidades nuevas publicadas, cuya severidad es alta son:
- mecanismo débil de recuperación de contraseñas olvidadas,
- exposición de información sensible a un agente no autorizado,
- limitación incorrecta de una ruta a un directorio restringido.
CVE-2024-27899: las acciones de auto-registro y modificación del perfil propio en User Admin Aplicación de NetWeaver AS Java, no hacen cumplir los requisitos de seguridad adecuados para el contenido de la respuesta de seguridad recién definido. Esto podría ser aprovechado por un atacante para causar un profundo impacto en la confidencialidad y un bajo impacto tanto en la integridad como en la disponibilidad.
CVE-2024-25646: debido a una validación incorrecta, SAP BusinessObject Business Intelligence Launch Pad podría permite a un atacante autenticado acceder a información del sistema operativo utilizando un documento especialmente diseñado. En caso de explotación exitosa, podría haber un impacto considerable en la confidencialidad de la aplicación.
CVE-2024-27901: SAP Asset Accounting podría permitir a un atacante con privilegios elevados aprovecharse de una validación insuficiente de la información de ruta proporcionada por los usuarios y pasarla a las API de archivos. Esto tendría un impacto considerable en la confidencialidad, integridad y disponibilidad de la aplicación.
Múltiples vulnerabilidades en productos de Fortinet
Las siguientes versiones de FortiClientLinux están afectadas:
- 7.2.0.
- 7.0.6 hasta 7.0.10;
- 7.0.3 hasta 7.0.4.
Las siguientes versiones de FortiClientMac están afectadas:
- 7.2.0 hasta 7.2.3;
- 7.0.6 hasta 7.0.10.
CataLpa de Dbappsecurity Co. Ltd y Tomas Kabrt, han reportado 3 vulnerabilidades, una de severidad crítica y dos de severidad alta, cuya explotación podría permitir a un atacante ejecutar código arbitrario.
Actualizar los productos afectados a las siguientes versiones:
- FortiClientLinux 7.2: actualizar a la versión 7.2.1 o superior;
- FortiClientLinux 7.0: actualizar a la versión 7.0.11 o superior;
- FortiClientMac 7.2: actualizar a la versión 7.2.4 o superior;
- FortiClientMac 7.0: actualizar a la versión 7.0.11 o superior;
Una vulnerabilidad de control impropio de generación de código en FortiClientLinux podría permitir a un atacante, no autenticado, ejecutar código arbitrario engañando a un usuario para que visite un sitio web malicioso controlado por el atacante. Se ha asignado el identificador CVE-2023-45590 para esta vulnerabilidad de severidad crítica.
Se han asignado los identificadores CVE-2023-45588 y CVE-2024-31492 para las vulnerabilidades de severidad alta.
Múltiples vulnerabilidades en UCA de HPE
Unified Correlation Analyzer (UCA), versiones anteriores a v4.4.0.
HPE ha publicado 11 vulnerabilidades, 5 de severidad crítica y 6 altas que podrían permitir a un atacante ejecución de código, denegación de servicio (DoS), acceso no autorizado, corrupción de memoria, entidad externa XML (XXE) o deserialización insegura.
HPE ha proporcionado una actualización a la versión 4.4.0 para solucionar dichas vulnerabilidades.
Las vulnerabilidades descritas podrían provocar a través de acceso remoto ejecución de código, denegación de servicio (DoS), acceso no autorizado, corrupción de memoria, entidad externa XML (XXE), deserialización insegura.
Se han asignado los identificadores CVE-2019-20444, CVE-2021-41411, CVE-2022-23221, CVE-2022-23221 y CVE-2023-46604 para las vulnerabilidades de severidad crítica.
Se han asignado los identificadores CVE-2020-26945, CVE-2020-36518, CVE-2021-46877, CVE-2022-42004 y CVE-2023-36478 para las vulnerabilidades de severidad alta.