Inicio / Content / Boletín de INCIBE-CERT del 02-06-2022

Boletín de INCIBE-CERT del 02-06-2022

Múltiples vulnerabilidades en GitLab

Fecha de publicación: 
02/06/2022
Identificador: 
INCIBE-2022-0776
Importancia: 
5 - Crítica
Recursos afectados: 

Versiones anteriores a la 15.0.1, 14.10.4, y 14.9.5, de los productos:

  • GitLab Community Edition (CE),
  • GitLab Enterprise Edition (EE).
Descripción: 

GitLab ha publicado nuevas versiones que solucionan 8 vulnerabilidades, siendo 1 crítica, 2 altas, 4 medias y 1 baja.

Solución: 

Actualizar a la última versión disponible (15.0.1, 14.10.4, 14.9.5 o posteriores).

Detalle: 

Cuando se configura el SAML SSO de grupo, la función SCIM (disponible sólo en las suscripciones Premium+) podría permitir a cualquier propietario de un grupo Premium, invitar a usuarios arbitrarios a través de su nombre de usuario y correo electrónico, y luego cambiar los emails de esos usuarios a través de SCIM a una dirección controlada por el atacante y tomar el control de esas cuentas. También es posible que el atacante cambie el nombre del display y el del usuario de la cuenta objetivo. Se ha asignado el identificador CVE-2022-1680 para esta vulnerabilidad de severidad crítica.

Para las vulnerabilidades de severidad alta se han asignado los identificadores: CVE-2022-1940 y CVE-2022-1948.

Para las vulnerabilidades de severidad media se han asignado los identificadores: CVE-2022-1935, CVE-2022-1936, CVE-2022-1944 y CVE-2022-1821.

Para la vulnerabilidad de severidad baja se ha asignado el identificador CVE-2022-1783.

Encuesta valoración

[Actualización 02/06/2022] Múltiples vulnerabilidades en productos Aruba

Fecha de publicación: 
18/05/2022
Importancia: 
5 - Crítica
Recursos afectados: 
  • AirWave Management Platform, versión 8.2.14.0 y anteriores;
  • Aruba Fabric Composer (AFC) y Plexxi Composable Fabric Manager (CFM), versión 6.2.0 y anteriores;
  • Aruba EdgeConnect Enterprise, versiones ECOS 9.1.1.3, ECOS 9.0.6.0, ECOS 8.3.6.0 y anteriores;
  • Aruba EdgeConnect Enterprise Orchestrator (on-premises).
Descripción: 

Múltiples vulnerabilidades en la biblioteca de procesamiento XML Expat afectan a productos de Aruba.

Solución: 

Actualizar a:

  • AirWave Management Platform, versión 8.2.14.1 y superiores;
  • Aruba Fabric Composer (AFC) y Plexxi Composable Fabric Manager (CFM), versión 6.2.1 y superior;
  • Aruba EdgeConnect Enterprise, versiones ECOS 9.1.1.4, ECOS 9.0.7.0, ECOS 8.3.7.0 y superiores;
  • Aruba EdgeConnect Enterprise Orchestrator (on-premises):
    • actualizar a una versión superior a la 9.0.6.
    • aquellos que utilicen CentOS, pueden ejecutar el comando 'yum update expat'.
    • los clientes Fedora necesitan actualizar a CentOS.
Detalle: 
  • Xmltok_impl.c en libexpat carece de cierta validación de la codificación, como la comprobación de si un carácter UTF-8 es válido en un contexto determinado. Se ha asignado el identificador CVE-2022-25235 para esta vulnerabilidad.
  • Xmlparse.c en libexpat podría permitir a los atacantes insertar caracteres separadores de nombres en URI de espacios de nombres. Se ha asignado el identificador CVE-2022-25236 para esta vulnerabilidad.
  • Desbordamiento de enteros en storeRawNames en expat. Se ha asignado el identificador CVE-2022-25315 para esta vulnerabilidad.

Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2022-25314.

Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2022-25313.

Encuesta valoración