Dos nuevos avisos de seguridad
Múltiples vulnerabilidades en ArubaOS-Switch de HPE Aruba
Modelos de HPE Aruba Networking Switch:
- Aruba 5400R Series Switches;
- Aruba 3810 Series Switches;
- Aruba 2920 Series Switches;
- Aruba 2930F Series Switches;
- Aruba 2930M Series Switches;
- Aruba 2530 Series Switches;
- Aruba 2540 Series Switches.
Versiones de las ramas de desarrollo de software:
- ArubaOS-Switch 16.11.xxxx: KB/WC/YA/YB/YC.16.11.0012 y anteriores.
- ArubaOS-Switch 16.10.xxxx: KB/WC/YA/YB/YC.16.10.0025 y anteriores.
- ArubaOS-Switch 16.10.xxxx: WB.16.10.23 y anteriores.
- ArubaOS-Switch 16.09.xxxx: todas las versiones.
- ArubaOS-Switch 16.08.xxxx: KB/WB/WC/YA/YB/YC.16.08.0026 y anteriores.
- ArubaOS-Switch 16.07.xxxx: todas las versiones.
- ArubaOS-Switch 16.06.xxxx: todas las versiones.
- ArubaOS-Switch 16.05.xxxx: todas las versiones.
- ArubaOS-Switch 16.04.xxxx: KA/RA.16.04.0026 y anteriores.
- ArubaOS-Switch 16.03.xxxx: todas las versiones.
- ArubaOS-Switch 16.02.xxxx: todas las versiones.
- ArubaOS-Switch 16.01.xxxx: todas las versiones.
- ArubaOS-Switch 15.xx.xxxx: 15.16.0025 y anteriores.
HPE Aruba Networking ha lanzado actualizaciones que abordan múltiples vulnerabilidades de severidad alta. Su explotación podría permitir a un atacante ejecutar secuencias de comandos entre sitios (XSS), provocar una denegación de servicio (DoS) o una corrupción de memoria,
Para abordar las vulnerabilidades se recomienda actualizar el software a las siguientes versiones:
- ArubaOS-Switch 16.11.xxxx: KB/WC/YA /YB/YC.16.11.0013 y superiores;
- ArubaOS-Switch 16.10.xxxx: WB.16.10.0024 y superior;
- ArubaOS-Switch 16.08.xxxx: KB/WB/WC/YA/YB/YC.16.08.0027 y superiores;
- ArubaOS-Switch 16.04.xxxx: KA/RA.16.04.0027 y superiores;
- ArubaOS-Switch 15.xx.xxxx: A.15.16.0026 y superior.
- La vulnerabilidad CVE-2023-39266 afecta a interfaz de administración web de ArubaOS-Switch y podría permitir que un atacante remoto, no autenticado, lleve a cabo un ataque de secuencias de comandos entre sitios (XSS) almacenado contra un usuario de la interfaz. La explotación exitosa podría permitir a un atacante ejecutar código de script arbitrario en el navegador de la víctima en el contexto de la interfaz afectada.
- La vulnerabilidad CVE-2023-39267 podría provocar ejecución remota de código autenticado en la interfaz de línea de comando en ArubaOS-Switch. La explotación exitosa da como resultado una condición de denegación de servicio (DoS) en el conmutador.
- La vulnerabilidad CVE-2023-39268 de corrupción de memoria en ArubaOS-Switch podría provocar la ejecución remota de código, no autenticado, al recibir paquetes especialmente diseñados. La explotación exitosa de esta vulnerabilidad da como resultado la capacidad de ejecutar código arbitrario como usuario privilegiado en el sistema operativo subyacente.
Múltiples vulnerabilidades en Aria Operations for Networks de VMWare
Aria Operations for Networks, versiones comprendidas entre la 6.x y la 6.11 (no incluida).
Sina Kheirkhah (@SinSinology), de Summoning Team, ha reportado una vulnerabilidad de severidad alta y una de severidad crítica, que podrían permitir a un actor malicioso eludir la autenticación SSH o escribir archivos en ubicaciones arbitrarias.
El fabricante ha lanzado la versión 6.11, la cual da solución a las vulnerabilidades reportadas.
Más información acerca de los parches a aplicar para cada versión en las referencias.
- CVE-2023-34039: vulnerabilidad crítica de elusión de autenticación debido a la falta de generación de claves criptográficas únicas, por la cual un atacante con acceso a la red podría omitir la autenticación SSH para obtener acceso al CLI del producto afectado.
- CVE-2023-20890: vulnerabilidad de escritura arbitraria de archivos, la cual podría permitir a un atacante con permisos de administrador escribir archivos en ubicaciones arbitrarias, lo que podría resultar en una ejecución remota de código.