Tres nuevos avisos de seguridad
Actualizaciones de seguridad de Microsoft de mayo de 2023
- Microsoft Bluetooth Driver;
- Microsoft Edge (basado en Chromium);
- Microsoft Graphics Component;
- Microsoft Office;
- Microsoft Office Access;
- Microsoft Office Excel;
- Microsoft Office SharePoint;
- Microsoft Office Word;
- Microsoft Teams;
- Microsoft Windows Codecs Library;
- Reliable Multicast Transport Driver (RMCAST);
- Remote Desktop Client;
- SysInternals;
- Visual Studio Code;
- Windows Backup Engine;
- Windows Installer;
- Windows iSCSI Target Service;
- Windows Kernel;
- Windows LDAP - Lightweight Directory Access Protocol;
- Windows MSHTML Platform;
- Windows Network File System;
- Windows NFS Portmapper;
- Windows NTLM;
- Windows OLE;
- Windows RDP Client;
- Windows Remote Procedure Call Runtime;
- Windows Secure Boot;
- Windows Secure Socket Tunneling Protocol (SSTP);
- Windows SMB;
- Windows Win32K.
La publicación de actualizaciones de seguridad de Microsoft, correspondiente a la publicación de vulnerabilidades del 9 de mayo, consta de 38 vulnerabilidades (con CVE asignado), calificadas como: 6 de severidad crítica y 32 importantes.
Instalar la actualización de seguridad correspondiente. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.
Las vulnerabilidades publicadas se corresponden con los siguientes tipos:
- ejecución remota de código,
- escalada de privilegios,
- suplantación de identidad (spoofing),
- divulgación de información,
- denegación de servicio,
- omisión de medidas de seguridad.
El parche de seguridad de mayo corrige 3 vulnerabilidades 0day con la siguiente casuística:
- CVE-2023-29336: vulnerabilidad de severidad alta, que podría permitir una escalada de privilegios en Win32k, está siendo explotada activamente.
- CVE-2023-24932: vulnerabilidad de severidad media, que podría permitir una omisión de autenticación en Secure Boot, está siendo explotada activamente.
- CVE-2023-29325: vulnerabilidad de severidad alta, que podría permitir una ejecución remota de código en Windows OLE, ha sido divulgada públicamente.
Actualización de seguridad de SAP de mayo de 2023
- SAP 3D Visual Enterprise License Manager, versión 15;
- SAP BusinessObjects Intelligence Platform, versiones 420 y 430;
- SAP AS NetWeaver JAVA, versiones SERVERCORE 7.50, J2EE-FRMW 7.50 y CORE-TOOLS 7.50;
- SAP IBP EXCEL ADD-IN, versiones 2211, 2302 y 2305;
- SAP PowerDesigner (Proxy), versión 16.7;
- SAP Commerce, versiones 2105, 2205 y 2211;
- SAP GUI for Windows, versiones 7.70 y 8,0;
- SAP Commerce (Backoffice), versiones 2105 y 2205;
- SAPUI5, versiones SAP_UI 750, SAP_UI 754, SAP_UI 755, SAP_UI 756, SAP_UI 757 y UI_700 20.
SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.
Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.
SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 18 notas de seguridad, siendo 2 notas de severidad crítica, 9 de severidad alta y el resto medias y bajas.
Los tipos de vulnerabilidades de severidad alta publicadas se corresponden con los siguientes:
- divulgación de información,
- control de acceso inadecuado durante el arranque de la aplicación,
- escalada de privilegios,
- corrupción de memoria,
- denegación de servicio,
- neutralización inadecuada de código.
La vulnerabilidad crítica que afecta a BusinessObjects Business Intelligence Platform podría permitir que un atacante autenticado con privilegios de administrador obtenga el token de inicio de sesión de cualquier usuario o servidor de BI conectado a través de la red sin ninguna interacción del usuario. El atacante podría hacerse pasar por cualquier usuario en la plataforma y acceder y modificar los datos. El atacante también puede hacer que el sistema no esté disponible parcial o totalmente. Se ha asignado el identificador CVE-2023-28762 a esta vulnerabilidad.
Múltiples vulnerabilidades en productos de Aruba
Aruba Access Points con el software InstantOS y ArubaOS 10:
- ArubaOS 10.3.x: versiones 10.3.1.0 y anteriores;
- Aruba InstantOS 8.10.x: versiones 8.10.0.4 y anteriores;
- Aruba InstantOS 8.6.x: versiones 8.6.0.19 y anteriores;
- Aruba InstantOS 6.5.x: versiones 6.5.4.23 y anteriores;
- Aruba InstantOS 6.4.x: versiones 6.4.4.8-4.2.4.20 y anteriores.
Las siguientes versiones de InstantOS se encuentran en el final de su ciclo de vida, por lo que están afectadas por las vulnerabilidades reportadas y no van a ser parcheadas:
- Todas las versiones de InstantOS 8.9.x;
- Todas las versiones de InstantOS 8.8.x;
- Todas las versiones de InstantOS 8.7.x;
- Todas las versiones de InstantOS 8.5.x;
- Todas las versiones de InstantOS 8.4.x.
Aruba Networks ha informado de 8 vulnerabilidades críticas, 4 vulnerabilidades de severidad alta, y una vulnerabilidad de severidad media. La explotación de estas vulnerabilidades podría permitir a un atacante realizar ejecuciones arbitrarias de código, provocar una denegación de servicio, ejecutar comandos arbitrarios y provocar desbordamientos de búfer.
Aruba Network ha lanzado nuevas versiones de software para solucionar las vulnerabilidades en los productos afectados. Para más información, se pueden consultar las versiones concretas en el aviso de Aruba Networks incluido en las referencias.
Las 8 vulnerabilidades de severidad crítica consisten en un desbordamiento de búfer en múltiples servicios subyacentes que podrían conducir a la ejecución remota de código no autenticada mediante el envío de paquetes especialmente diseñados destinados al puerto UDP PAPI. La explotación exitosa de estas
vulnerabilidades podría permitir a un atacante ejecutar código arbitrario como usuario privilegiado en el sistema operativo subyacente.
Se han asignado los siguientes identificadores para estas vulnerabilidades: CVE-2023-22779, CVE-2023-22780, CVE-2023-22781, CVE-2023-22782, CVE-2023-22783, CVE-2023-22784, CVE-2023-22785 y CVE-2023-22786.
Los identificadores del resto de vulnerabilidades no críticas se pueden consultar en el aviso de Aruba Networks incluido en las referencias.