Tres nuevos avisos de seguridad
Denegación de servicio en PAN-OS de Paloalto
Las siguientes versiones de PAN-OS están afectadas:
- versiones inferiores a 11.0.3;
- versiones inferiores a 10.2.6;
- versiones inferiores a 10.1.11;
- versiones inferiores o iguales a 9.1.16.
Ben Cartwright-Cox ha reportado una vulnerabilidad de severidad alta, cuya explotación podría permitir a un atacante remoto causar una denegación de servicio (DoS) en los productos afectados.
La vulnerabilidad va a ser resuelta en las siguientes versiones:
- hotfix para la versión 9.1.16 (fecha aproximada de lanzamiento: primera semana de octubre);
- versión 10.1.11 (fecha aproximada de lanzamiento: última semana de septiembre);
- versión 10.2.6 (fecha aproximada de lanzamiento: última semana de septiembre);
- versión 11.0.3 (fecha aproximada de lanzamiento: tercera semana de octubre).
El software BGP, incluido en el producto FRRouting FRR como parte de la función de enrutamiento virtual de PAN-OS, permite a un atacante remoto restablecer incorrectamente sesiones de red a través de una actualización BGP no válida. Este problema solo es aplicable a cortafuegos configurados con enrutadores virtuales que tengan BGP habilitado.
Este problema requiere que el atacante remoto controle al menos una sesión BGP establecida que se propague al enrutador virtual PAN-OS para explotarlo. El impacto de denegación de servicio (DoS) en la red depende de la arquitectura de la red y del diseño tolerante a fallos.
Se ha asignado el identificador CVE-2023-38802 para esta vulnerabilidad.
Cross-site Scripting en productos FortiOS y FortiProxy de Fortinet
- FortiProxy, versión 7.2.0 hasta 7.2.4;
- FortiProxy, versión 7.0.0 hasta 7.0.10;
- FortiOS, versión 7.2.0 hasta 7.2.4;
- FortiOS, versión 7.0.0 hasta 7.0.11;
- FortiOS, versión 6.4.0 hasta 6.4.12;
- FortiOS, versión 6.2.0 hasta el 6.2.14;
William Costa, del equipo CSE de Fortinet, ha notificado una vulnerabilidad de severidad alta que podría permitir que un atacante autenticado desencadene la ejecución de código JavaScript malicioso en una página de gestión de invitados.
Actualizar a las versiones:
- FortiProxy, versión 7.2.5 o superior.
- FortiProxy, versión 7.0.11 o superior.
- FortiOS, versión 7.4.0 o superior.
- FortiOS, versión 7.2.5 o superior.
- FortiOS, versión 7.0.12 o superior.
- FortiOS, versión 6.4.13 o superior.
- FortiOS, versión 6.2.15 o superior.
La vulnerabilidad de severidad alta provoca una neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-Site Scripting'), que podría permitir, a un atacante autenticado, ejecutar código JavaScript malicioso en la página de gestión de invitados.
Múltiples vulnerabilidades en QSige de IDM Sistemas
QSige, versión 3.0.0.0.
INCIBE ha coordinado la publicación de 7 vulnerabilidades que afectan a QSige de IDM Sistemas, un sistema inteligente de gestión de esperas, descubiertas por Pablo Arias Rodríguez, Jorge Alberto Palma Reyes y Rubén Barberá Pérez, investigadores del Red Team del CSIRT-CV. Mención especial a todo el equipo del CSIRT-CV.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2023-4097: CVSS v3.1: 8,8 | CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-434.
- CVE-2023-4098: CVSS v3.1: 8,8 | CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-89.
- CVE-2023-4099: CVSS v3.1: 7,6 | CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L | CWE-639.
- CVE-2023-4100: CVSS v3.1: 6,5 | CVSS: AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L | CWE-79.
- CVE-2023-4101: CVSS v3.1: 8,8 | CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-639.
- CVE-2023-4102: CVSS v3.1: 8,8 | CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-89.
- CVE-2023-4103: CVSS v3.1: 8,8 | CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-89.
Las vulnerabilidades reportadas están solucionadas en la última versión del producto afectado.
- CVE-2023-4097: la funcionalidad de carga de archivos no está implementada correctamente y permite cargar cualquier tipo de archivo. Como requisito previo, es necesario que el atacante inicie sesión en la aplicación con un nombre de usuario válido.
- CVE-2023-4098: vulnerabilidad SQLi remota. Se ha identificado que la aplicación web no filtra correctamente los parámetros de entrada, permitiendo inyecciones SQL, DoS o divulgación de información. Como requisito previo, es necesario iniciar sesión en la aplicación.
- CVE-2023-4099: la aplicación Monitor de QSige no cuenta con un mecanismo de control de acceso para verificar si el usuario que solicita un recurso tiene permisos suficientes para hacerlo. Como requisito previo, es necesario iniciar sesión en la aplicación.
- CVE-2023-4100: permite a un atacante realizar ataques XSS almacenados en ciertos recursos. La explotación de esta vulnerabilidad puede conducir a una condición DoS, entre otras acciones.
- CVE-2023-4101: el SSO de inicio de sesión de QSige no cuenta con un mecanismo de control de acceso para verificar si el usuario que solicita un recurso tiene permisos suficientes para hacerlo. Como requisito previo, es necesario iniciar sesión en la aplicación.
- CVE-2023-4102: las utilidades de QSige se ven afectadas por una vulnerabilidad SQLi remota. Se ha identificado que la aplicación web no filtra correctamente los parámetros de entrada, permitiendo inyecciones SQL, DoS o divulgación de información. Como requisito previo, es necesario iniciar sesión en la aplicación.
- CVE-2023-4103: las estadísticas de QSige se ven afectadas por una vulnerabilidad SQLi remota. Se ha identificado que la aplicación web no filtra correctamente los parámetros de entrada, permitiendo inyecciones SQL, DoS o divulgación de información. Como requisito previo, es necesario iniciar sesión en la aplicación.