Tres nuevos avisos de seguridad
Índice
- Boletín de seguridad de Android: marzo de 2024
- Múltiples vulnerabilidades en JetBrains TeamCity On-Premises
- Vulnerabilidad de Cross-Site Scripting en TP-Link Archer AX50
Boletín de seguridad de Android: marzo de 2024
- Android Open Source Project (AOSP), tipo RCE y EoP, versiones 12, 12L, 13, 14;
- Qualcomm closed-source component.
El boletín de Android, relativo a marzo de 2024, soluciona múltiples vulnerabilidades de severidad crítica y alta que afectan a su sistema operativo, así como múltiples componentes, que podrían provocar la ejecución remota de código sin necesidad de privilegios de ejecución adicionales.
En caso de utilizar dispositivos Android, se debe comprobar que el fabricante haya publicado un parche de seguridad y actualizarlos.
En esta página se indica cómo verificar la versión de Android de un dispositivo y la fecha del parche de seguridad de algunos fabricantes. En caso de que siguiendo esta guía no se pueda comprobar la versión de los dispositivos o la fecha del parche de seguridad, se recomienda revisar la página del fabricante.
Las dos vulnerabilidades de severidad crítica que afectan al sistema podrían provocar la ejecución remota de código sin necesidad de privilegios de ejecución adicionales.
Se han asignado los identificadores CVE-2024-0039 y CVE-2024-23717 para estas vulnerabilidades.
Para la vulnerabilidad que afecta al componente de Qualcomm se ha asignado el identificador CVE-2023-28578.
Múltiples vulnerabilidades en JetBrains TeamCity On-Premises
TeamCity On-Premises, todas las versiones hasta 2023.11.3.
Stephen Fewer, investigador de seguridad de Rapid7, descubrió en febrero de 2024 dos vulnerabilidades, una de severidad crítica y otra alta, que reportó al fabricante JetBrains. Ambas vulnerabilidades son de tipo omisión de autenticación.
Actualizar manualmente TeamCity On-Premises a la versión 2023.11.4, o emplear la opción de actualización automática.
En caso de no actualizar a la versión correctora, JetBrains ha publicado un parche de seguridad para versiones de TeamCity 2018.2 y posteriores, o 2018.1 y anteriores.
Los servidores TeamCity Cloud ya han sido actualizados.
- Vulnerabilidad crítica de omisión de autenticación en el componente web de TeamCity originado por un problema de ruta alternativa. Se ha asignado el identificador CVE-2024-27198 para esta vulnerabilidad.
- Vulnerabilidad alta de path traversal que podría permitir la realización de acciones administrativas limitadas. Se ha asignado el identificador CVE-2024-27199 para esta vulnerabilidad.
Vulnerabilidad de Cross-Site Scripting en TP-Link Archer AX50
Archer AX50, versión 1.0.11 build 2022052.
INCIBE ha coordinado la publicación de 1 vulnerabilidad de severidad media que afecta a TP-Link Archer AX50 versión 1.0.11 build 2022052, un dispositivo router de doble banda, la cual ha sido descubierta por Víctor Fresco Perales.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2024-2188: 6.1 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L | CWE-79.
Actualizar el firmware a la versión Archer AX50(EU)_V1_1.0.14 build 20240108.
CVE-2024-2188: vulnerabilidad de Cross-Site Scripting (XSS) almacenado en TP-Link Archer AX50 que afecta la versión de firmware 1.0.11 build 2022052. Esta vulnerabilidad podría permitir a un atacante no autenticado crear una regla de asignación de puertos a través de una petición de SOAP y almacenar una carga útil de JavaScript maliciosa dentro de esa regla, lo que podría resultar en una ejecución de la carga útil de JavaScript cuando se carga la regla.