Inicio / Content / Boletín de INCIBE-CERT del 13-10-2021

Boletín de INCIBE-CERT del 13-10-2021

Múltiples vulnerabilidades en ClearPass Policy Manager de HPE Aruba

Fecha de publicación: 
13/10/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • ClearPass Policy Manager, versiones 6.10.x anteriores a 6.10.2;
  • ClearPass Policy Manager, versiones 6.9.x anteriores a 6.9.7-HF1;
  • ClearPass Policy Manager, versiones 6.8.x anteriores a 6.8.9-HF1;
  • ClearPass Policy Manager, versiones 6.7.x y anteriores (versiones EOL).
Descripción: 

Varios investigadores han reportado 18 vulnerabilidades en ClearPass Policy Manager, siendo 3 de severidad crítica, 9 altas y 6 medias. Su explotación podría permitir: escalada de privilegios local, ejecución remota de comandos arbitrarios, omisión de autenticación, divulgación de información confidencial, inyección SQL y acceso a directorios restringidos (directory traversal).

Solución: 

Actualizar a:

  • ClearPass Policy Manager 6.10.x: versión 6.10.2 y superiores;
  • ClearPass Policy Manager 6.9.x: versión 6.9.7-HF1 y superiores;
  • ClearPass Policy Manager 6.8.x: versión 6.8.9-HF1 y superiores.
Detalle: 
  • Tres vulnerabilidades críticas en la interfaz web de gestión de ClearPass Policy Manager podrían permitir a un atacante remoto no autenticado acceder a un endpoint de cifrado (CVE-2021-37736) o a información confidencial (CVE-2021-40996 y CVE-2021-40997) en la plataforma. La explotación exitosa permitiría al atacante eludir la autenticación del sistema y comprometer por completo el clúster.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-37737, CVE-2021-37738, CVE-2021-37739, CVE-2021-40986, CVE-2021-40987, CVE-2021-40988, CVE-2021-40989, CVE-2021-40990, CVE-2021-40991, CVE-2021-40992, CVE-2021-40993, CVE-2021-40994, CVE-2021-40995, CVE-2021-40998 y CVE-2021-40999.

Encuesta valoración

Actualización de seguridad de SAP de octubre de 2021

Fecha de publicación: 
13/10/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • SAP Business Client, versión 6.5;
  • SAP Environmental Compliance, versión 3.0;
  • SAP NetWeaver AS ABAP and ABAP Platform, versión 700, 701, 702, 710, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756 y 785;
  • SAP SuccessFactors Mobile Application, versiones anteriores a la 2108;
  • SAP BusinessObjects Business Intelligence Platform, versión 420 y 430;
  • SAP Business One, versión 10.0;
  • SAP NetWeaver Application Server for ABAP (SAP Cloud Print Manager and SAPSprint), versión 7.70, 7.70PI y 7.70BYD;
  • SAPUI5, versión 750, 753 y 754;
  • SAP NetWeaver, versión 700, 701, 702 y 730;
  • SAP BusinessObjects Analysis para OLAP, versión 420 y 430.
Descripción: 

SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.

Solución: 

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle: 

SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 13 notas de seguridad y 1 actualización de notas anteriores, siendo 3 de severidad crítica, 1 de severidad alta y 10 de severidad media.

Los tipos de vulnerabilidades publicadas se corresponden con los siguientes:

  • 1 vulnerabilidad de inyección de código,
  • 2 vulnerabilidades de XSS,
  • 2 vulnerabilidades de denegación de servicio,
  • 1 vulnerabilidad de autorización inadecuada,
  • 2 vulnerabilidades de revelación de información,
  • 1 vulnerabilidad de falta de validación XML, 
  • 5 vulnerabilidades de otro tipo.

Las notas de seguridad más destacadas se refieren a:

  • SAP Environmental Compliance: se ha corregido una vulnerabilidad de inyección XXE (XML External Entity) que podría permitir a un atacante interferir en el procesado de datos XML de la aplicación. Se han asignado los identificadores CVE-2020-10683 y CVE-2021-23926 para esta vulnerabilidad crítica.
  • SAP NetWeaver AS ABAP and ABAP Platform: se ha corregido una vulnerabilidad de autorización inadecuada que podría permitir a un atacante manipular información de peticiones o tareas. Se ha asignado el identificador CVE-2021-38178 para esta vulnerabilidad.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-40498, CVE-2021-40500, CVE-2021-38179, CVE-2021-38180, CVE-2021-38181, CVE-2021-40499, CVE-2020-11023, CVE-2021-38183, CVE-2021-40495, CVE-2021-40497 y CVE-2021-40496.

Encuesta valoración

Actualizaciones de seguridad de Microsoft de octubre de 2021

Fecha de publicación: 
13/10/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • .NET Core & Visual Studio;
  • Active Directory Federation Services;
  • Console Window Host;
  • HTTP.sys;
  • Microsoft DWM Core Library;
  • Microsoft Dynamics;
  • Microsoft Edge (basado en Chromium);
  • Microsoft Exchange Server;
  • Microsoft Graphics Component;
  • Microsoft Intune;
  • Microsoft Office Excel;
  • Microsoft Office SharePoint;
  • Microsoft Office Visio;
  • Microsoft Office Word;
  • Microsoft Windows Codecs Library;
  • Rich Text Edit Control;
  • Role: DNS Server;
  • Role: Windows Active Directory Server;
  • Role: Windows AD FS Server;
  • Role: Windows Hyper-V;
  • System Center;
  • Visual Studio;
  • Windows AppContainer;
  • Windows AppX Deployment Service;
  • Windows Bind Filter Driver;
  • Windows Cloud Files Mini Filter Driver;
  • Windows Common Log File System Driver;
  • Windows Desktop Bridge;
  • Windows DirectX;
  • Windows Event Tracing;
  • Windows exFAT File System;
  • Windows Fastfat Driver;
  • Windows Installer;
  • Windows Kernel;
  • Windows MSHTML Platform;
  • Windows Nearby Sharing;
  • Windows Network Address Translation (NAT);
  • Windows Print Spooler Components;
  • Windows Remote Procedure Call Runtime;
  • Windows Storage Spaces Controller;
  • Windows TCP/IP;
  • Windows Text Shaping;
  • Windows Win32K.
Descripción: 

La publicación de actualizaciones de seguridad de Microsoft, correspondiente al mes de octubre, consta de 74 vulnerabilidades, clasificadas 3 como críticas, 70 como importantes y 1 como baja.

Solución: 

Instalar la actualización de seguridad correspondiente. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.

Detalle: 

Las vulnerabilidades publicadas se corresponden con los siguientes tipos:

  • denegación de servicio,
  • escalada de privilegios,
  • divulgación de información,
  • ejecución remota de código,
  • omisión de función de seguridad,
  • suplantación de identidad (spoofing).

Microsoft también ha corregido 4 vulnerabilidades 0day con la siguiente casuística:

  • 3 vulnerabilidades divulgadas públicamente, pero no explotadas activamente: CVE-2021-40469, CVE-2021-41335 y CVE-2021-41338;
  • 1 vulnerabilidad explotada activamente: CVE-2021-40449.

Encuesta valoración

Vulnerabilidad de acceso a servidor FTP en JasperReports Server de TIBCO

Fecha de publicación: 
13/10/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • JasperReports Server:
    • versiones 7.2.1 y anteriores;
    • versiones 7.5.0 y 7.5.1;
    • versión 7.8.0;
    • versión 7.9.0;
    • Community Edition, versiones 7.8.0 y anteriores;
    • Developer Edition, versiones 7.9.0 y anteriores;
    • para AWS Marketplace, versiones 7.9.0 y anteriores;
    • para ActiveMatrix BPM, versiones 7.9.0 y anteriores;
    • para Microsoft Azure, versión 7.8.0.
  • El componente Scheduler Connection.
Descripción: 

La ejecución exitosa de esta vulnerabilidad podría permitir a atacante obtener acceso al servidor FTP de la víctima con su nivel de privilegio.

Solución: 
  • En versiones 7.2.1 e inferiores, actualizar a la versión 7.2.2 o posterior;
  • en versiones 7.5.0 y 7.5.1. actualizar a la versión 7.5.2 o posterior;
  • en versión 7.8.0. actualizar a la versión 7.8.1 o posterior;
  • en versión 7.9.0. actualizar a la versión 7.9.1 o posterior;
  • en Community Edition versiones 7.8.0 e inferiores, actualizar a la versión 7.8.1 o posterior;
  • en Developer Edition versiones 7.9.0 e inferiores, actualizar a la versión 7.9.1 o posterior;
  • en AWS Marketplace versiones 7.9.0 e inferiores, actualizar a la versión 7.9.1 o posterior;
  • en ActiveMatrix BPM versiones 7.9.0 e inferiores, actualizar a la versión 7.9.1 o posterior;
  • en Microsoft Azure versión 7.8.0, actualizar a la versión 7.9.1 o posterior.
Detalle: 

El componente Scheduler Connection contiene una vulnerabilidad fácilmente explotable que podría permitir a un atacante autenticado con acceso a la red obtener las contraseñas del servidor FTP de otros usuarios del sistema afectado. Se ha asignado el identificador CVE-2021-35495 para esta vulnerabilidad.

Encuesta valoración