Inicio / Content / Boletín de INCIBE-CERT del 01-09-2021

Boletín de INCIBE-CERT del 01-09-2021

Múltiples vulnerabilidades en ArubaOS de HPE

Fecha de publicación: 
01/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • ArubaOS, versiones anteriores a la 8.8.0.1, 8.7.1.4, 8.6.0.11, 8.5.0.13, 8.3.0.16, 6.5.4.20 y 6.4.4.25;
  • Software y pasarelas SD-WAN, versiones anteriores a la 8.7.0.0-2.3.0.0 y 8.6.0.4-2.2.0.6.

Los siguientes productos también están afectados al haber llegado al final de su vida útil:

  • ArubaOS 8.0.xx,
  • ArubaOS 8.1.xx,
  • ArubaOS 8.2.xx,
  • ArubaOS 8.4.xx,
  • SD-WAN 1.0.xx,
  • SD-WAN 2.0.xx,
  • SD-WAN 2.1.xx,
Descripción: 
Aruba ha publicado parches para una vulnerabilidad de severidad crítica, nueve de severidad alta y cinco de severidad media, que podrían permitir a un atacante remoto causar una condición de denegación de servicio, la ejecución de código arbitrario con privilegios o comprometer la integridad y confidencialidad de archivos del sistema.
Solución: 

Productos ArubaOS:

  • para versiones 8.3.0.x, actualizar a 8.3.0.15 o superior;
  • para versiones 8.5.0.x, actualizar a 8.5.0.12 o superior;
  • para versiones 8.6.0.x, actualizar a 8.6.0.8 o superior;
  • para versiones 8.7.x.x, actualizar a 8.7.1.2 o superior;
  • para versiones 8.8.0.x, actualizar a 8.8.0.0 o superior.

Productos SD-WAN:

  • para versiones 2.2.x.x, actualizar a 8.6.0.4-2.2.0.4 o superior;
  • para versiones 2.3.x.x, actualizar a 8.7.0.0-2.3.0.0 o superior.

En cuanto a los productos que finalizan su vida útil se recomienda migrar a otro producto compatible, siguiendo las indicaciones del fabricante.

Detalle: 

Una vulnerabilidad de desbordamiento de búfer en el protocolo PAPI (Aruba Networks AP management protocol) podría permitir a un atacante, remoto y no autenticado, la ejecución de código en el sistema operativo subyacente o causar una condición de denegación de servicio, mediante el envío de paquetes especialmente diseñados al puerto UDP (8211) de los dispositivos que ejecutan ArubaOS. Se ha asignado el identificador CVE-2021-37716 para esta vulnerabilidad de severidad crítica.

Para las vulnerabilidades de severidad alta se han asignado los identificadores CVE-2021-37717, CVE-2021-37718, CVE-2021-37719, CVE-2021-37720, CVE-2021-37721, CVE-2021-37722, CVE-2021-37723, CVE-2021-37724 y CVE-2021-37725.

Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2019-5318, CVE-2021-37728, CVE-2021-37729, CVE-2021-37731 y CVE-2021-37733.

Encuesta valoración

Vulnerabilidad en Microsoft Azure Cosmos DB

Fecha de publicación: 
01/09/2021
Importancia: 
4 - Alta
Recursos afectados: 

Microsoft Azure Cosmos DB, con la función Jupyter Notebook activada.

Descripción: 

Un investigador de seguridad ha informado de una vulnerabilidad en la función Jupyter Notebook de Azure Cosmos DB que podría permitir a un atacante obtener acceso a los recursos de otro cliente.

Solución: 
  • La vulnerabilidad fue mitigada por el fabricante de forma inmediata tras recibir la información por parte de los investigadores.
  • Microsoft ha notificado a los clientes, cuyas claves pudieron haberse visto afectadas durante la actividad de los investigadores, para que generen nuevas claves.
  • Aunque los datos de los clientes no se hayan visto comprometidos, se recomienda regenerar las claves primarias de lectura y escritura siguiendo los pasos descritos en la documentación técnica
  • Como medida de mitigación adicional, se recomienda seguir las medidas de buenas prácticas siguientes:
    • Todos los clientes de Azure Cosmos DB deben utilizar una combinación de reglas de firewall, vNet y/o Azure Private Link en su cuenta. Estos mecanismos de protección de red impiden el acceso desde fuera de su red y desde lugares inesperados.
    • Además de implementar controles de seguridad de red, se recomienda el uso del control de acceso basado en roles (Role Based Access Control), que permite el control de acceso al usuario y al responsable de seguridad a Azure Cosmos DB. Estos usuarios pueden ser auditados en los registros de diagnóstico de Azure Cosmos DB.
    • Si no puede utilizarse el control de acceso basado en roles, se recomienda la implementación de una rotación programada de las claves.
    • Pueden encontrarse más prácticas de seguridad en la documentación básica de seguridad de Azure Cosmos DB.
Detalle: 

Una vulnerabilidad de configuración inadecuada en la función Jupyter Notebook, de Azure Cosmos DB, podría permitir a un atacante obtener acceso a los recursos de otro cliente utilizando la clave principal de lectura y escritura de la cuenta.

Encuesta valoración