Inicio / Content / Boletín de INCIBE-CERT del 15-01-2020

Boletín de INCIBE-CERT del 15-01-2020

Actualizaciones críticas en Oracle (enero 2020)

Fecha de publicación: 
15/01/2020
Importancia: 
5 - Crítica
Recursos afectados: 
  • Enterprise Manager Base Platform, versiones 12.1.0.5, 13.2.0.0, 13.3.0.0;
  • Enterprise Manager para Fusion Middleware, versiones 13.2.0.0, 13.3.0.0;
  • Enterprise Manager para Oracle Database, versiones 12.1.0.5, 13.2.0.0, 13.3.0.0;
  • Enterprise Manager Ops Center, versiones 12.3.3, 12.4.0;
  • Hyperion Financial Close Management, versión 11.1.2.4;
  • Hyperion Planning, versión 11.1.2.4;
  • Identity Manager, versiones 11.1.2.3.0, 12.2.1.3.0;
  • Instantis EnterpriseTrack, versiones 17.1, 17.2, 17.3;
  • JD Edwards EnterpriseOne Orchestrator, versión 9.2;
  • JD Edwards EnterpriseOne Tools, versión 9.2;
  • MySQL Client, versiones 5.6.46 y anteriores, 5.7.28 y anteriores, 8.0.18 y anteriores;
  • MySQL Cluster, versiones 7.3.27 y anteriores, 7.4.25 y anteriores, 7.5.15 y anteriores, 7.6.12 y anteriores;
  • MySQL Connectors, versiones 5.3.13 y anteriores, 8.0.18 y anteriores;
  • MySQL Enterprise Backup, versiones 3.12.4 y anteriores, 4.1.3 y anteriores;
  • MySQL Server, versiones 5.6.46 y anteriores, 5.7.28 y anteriores, 8.0.18 y anteriores;
  • MySQL Workbench, versiones 8.0.18 y anteriores;
  • Oracle Agile Engineering Data Management, versiones 6.2.0, 6.2.1;
  • Oracle Agile PLM, versiones 9.3.3, 9.3.4, 9.3.5, 9.3.6;
  • Oracle Agile PLM Framework, versión 9.3.3;
  • Oracle Agile PLM MCAD Connector, versiones 3.4, 3.5, 3.6;
  • Oracle Application Testing Suite, versiones 12.5.0.3, 13.1.0.1, 13.2.0.1, 13.3.0.1;
  • Oracle AutoVue, versión 12.0.2;
  • Oracle Banking Corporate Lending, versiones 12.3.0-12.4.0, 14.0.0-14.3.0;
  • Oracle Banking Payments, versiones 14.1.0-14.3.0;
  • Oracle Big Data Discovery, versión 1.6;
  • Oracle Business Intelligence Enterprise Edition, versiones 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0;
  • Oracle Clinical, versión 5.2;
  • Oracle Coherence, versiones 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0;
  • Oracle Communications Design Studio, versiones 7.3.4.3.0, 7.3.5.5.0, 7.4.0.4.0, 7.4.1.1.0;
  • Oracle Communications Diameter Signaling Router (DSR), versiones 8.0, 8.1, 8.2, 8.3, 8.4;
  • Oracle Communications Instant Messaging Server, versión 10.0.1.3.0;
  • Oracle Communications Interactive Session Recorder, versiones 6.0, 6.1, 6.2, 6.3;
  • Oracle Communications IP Service Activator, versiones 7.3.4, 7.4.0;
  • Oracle Communications Session Border Controller, versiones 7.4, 8.0, 8.1, 8.2, 8.3;
  • Oracle Communications Session Router, versiones 7.4, 8.0, 8.1, 8.2, 8.3;
  • Oracle Communications Subscriber-Aware Load Balancer, versiones 7.3, 8.1, 8.3;
  • Oracle Communications Unified Inventory Management, versiones 7.3, 7.4;
  • Oracle Communications Unified Session Manager, versiones 7.3.5, 8.2.5;
  • Oracle Database Server, versiones 11.2.0.4, 12.1.0.2, 12.1.0.11, 12.2.0.1, 18c, 19c, 29, 212.2.0.1;
  • Oracle Demantra Demand Management, versiones 12.2.4, 12.2.4.1, 12.2.5, 12.2.5.1;
  • Oracle E-Business Suite, versiones 12.1.1-12.1.3, 12.2.3-12.2.9;
  • Oracle Endeca Information Discovery Integrator, versión 3.2.0;
  • Oracle Endeca Information Discovery Studio, versión 3.2.0;
  • Oracle Enterprise Communications Broker, versiones PCz3.0, PCz3.1, PCz3.2;
  • Oracle Enterprise Repository, versión 12.1.3.0.0;
  • Oracle Enterprise Session Border Controller, versiones 7.5, 8.0, 8.1, 8.2, 8.3;
  • Oracle Financial Services Analytical Applications Infrastructure, versiones 7.3.3-7.3.5, 8.0.0-8.0.8;
  • Oracle Financial Services Funds Transfer Pricing, versiones 8.0.2-8.0.7;
  • Oracle Financial Services Revenue Management y Billing, versiones 2.7.0.0, 2.7.0.1, 2.8.0.0;
  • Oracle FLEXCUBE Investor Servicing, versiones 12.1.0-12.4.0, 14.0.0-14.1.0;
  • Oracle FLEXCUBE Universal Banking, versiones 12.0.1-12.4.0, 14.0.0-14.3.0;
  • Oracle GraalVM Enterprise Edition, versión 19.3.0.2;
  • Oracle Health Sciences Data Management Workbench, versiones 2.4, 2.5;
  • Oracle Healthcare Master Person Index, versión 3.0;
  • Oracle Hospitality Cruise Materials Management, versión 7.30.567;
  • Oracle Hospitality Guest Access, versión 4.2;
  • Oracle Hospitality OPERA 5, versiones 5.5, 5.6;
  • Oracle Hospitality Suites Management, versiones 3.7, 3.8;
  • Oracle HTTP Server, versiones 11.1.1.9.0, 12.1.3.0.0, 12.2.1.3.0;
  • Oracle iLearning, versión 6.1;
  • Oracle Java SE, versiones 7u241, 8u231, 8u241, 11.0.5, 13.0.1;
  • Oracle Java SE Embedded, versión 8u231;
  • Oracle Outside In Technology, versión 8.5.4;
  • Oracle Real-Time Scheduler, versiones 2.3.0.1-2.3.0.3;
  • Oracle Reports Developer, versiones 12.2.1.3.0, 12.2.1.4.0;
  • Oracle Retail Assortment Planning, versiones 15.0.3, 16.0.3;
  • Oracle Retail Clearance Optimization Engine, versiones 13.4, 14.0, 14.0.3, 14.0.5;
  • Oracle Retail Customer Management y Segmentation Foundation, versiones 16.0, 17.0, 18.0;
  • Oracle Retail Markdown Optimization, versiones 13.4, 13.4.4;
  • Oracle Retail Order Broker, versiones 5.2, 15.0, 16.0, 18.0;
  • Oracle Retail Predictive Application Server, versiones 15.0.3, 16.0.3;
  • Oracle Retail Sales Audit, versión 15.0.3.16.0.2;
  • Oracle Secure Global Desktop, versiones 5.4, 5.5;
  • Oracle Security Service, versiones 11.1.1.9.0, 12.1.3.0.0, 12.2.1.3.0;
  • Oracle Solaris, versiones 10, 11;
  • Oracle Tuxedo, versiones 12.1.1.0.0, 12.1.3.0.0;
  • Oracle Utilities Framework, versiones 4.2.0.2-4.2.0.3, 4.3.0.1-4.3.0.4;
  • Oracle Utilities Mobile Workforce Management, versiones 2.3.0.1-2.3.0.3;
  • Oracle Utilities Work y Asset Management (v1), versión 1.9.1.2;
  • Oracle VM Server para SPARC, versión 3.6;
  • Oracle VM VirtualBox, versiones anteriores a 5.2.36, anteriores a 6.0.16, anteriores a 6.1.2;
  • Oracle WebCenter Sites, versión 12.2.1.3.0;
  • Oracle WebLogic Server, versiones 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0;
  • PeopleSoft Enterprise CC Common Application Objects, versiones 9.1, 9.2;
  • PeopleSoft Enterprise HCM Human Resources, versión 9.2;
  • PeopleSoft Enterprise PeopleTools, versiones 8.56, 8.57, 8.58;
  • PeopleSoft PeopleTools, versiones 8.56, 8.57;
  • Primavera Gateway, versiones 15.2.18, 16.2.11, 17.12.6, 18.8.8.1;
  • Primavera P6 Enterprise Project Portfolio Management, versiones 15.1.0.0-15.2.18.7, 16.1.0.0-16.2.19.0, 17.1.0.0-17.12.16.0, 18.1.0.0-18.8.16.0, 19.12.0.0, 20.1.0.0;
  • Primavera Unifier, versiones 16.1, 16.2, 17.7-17.12, 18.8, 19.12;
  • Siebel Applications, versiones 19.10 y anteriores;
  • Sun ZFS Storage Appliance Kit, versión 8.8.6;
  • Tape Library ACSLS, versiones 8.5, 8.5.1;
Descripción: 

Oracle ha publicado una actualización crítica con parches para corregir vulnerabilidades que afectan a múltiples productos.

Solución: 

Aplicar los parches correspondientes según los productos afectados. La información para descargar las actualizaciones puede obtenerse del boletín de seguridad publicado por Oracle.

Detalle: 

Esta actualización resuelve un total de 255 vulnerabilidades (con 334 parches), algunas de las cuales son críticas. El detalle de las vulnerabilidades resueltas se puede consultar en el enlace de Oracle de la sección de Referencias.

Encuesta valoración

Vulnerabilidad en VTune Amplifier para Windows de Intel

Fecha de publicación: 
15/01/2020
Importancia: 
4 - Alta
Recursos afectados: 

Intel VTune Amplifier para Windows, versiones anteriores a la actualización 8.

Descripción: 

Intel ha detectado una vulnerabilidad de criticidad alta. Un atacante local podría realizar una escalada de privilegios en el sistema.

Solución: 

Aplicar la actualización 8 o posterior de Intel VTune Amplifier para Windows.

Detalle: 

Un control de acceso inapropiado en el driver para Intel VTune Amplifier para Windows podría permitir a un atacante local realizar una escalada de privilegios en el sistema. Se ha reservado el identificador CVE-2019-14613 para esta vulnerabilidad.

Encuesta valoración

Actualización de seguridad de SAP de enero de 2020

Fecha de publicación: 
15/01/2020
Importancia: 
3 - Media
Recursos afectados: 
  • SAP Process Integration - Rest Adapter (SAP_XIAF), versiones - 7.31, 7.40, 7.50;
  • SAP NetWeaver Internet Communication Manager, versiones:
    • KRNL32NUC y KRNL32UC 7.21, 7.21EXT, 7.22 y 7.22EXT;
    • KRNL64NUC y KRNL64UC 7.21, 7.21EXT, 7.22, 7.22EXT y 7.49;
    • KERNEL 7.21, 7.22, 7.49 y 7.53;
  • RTCISM, versión - 100;
  • SAP Disclosure Management, versión - 10.1;
  • Automated Note Search Tool (SAP Basis), versiones - 7.0, 7.01,7.02, 7.31, 7.4, 7.5, 7.51, 7.52, 7.53 y 7.54;
  • SAP UI, versiones - 7.5, 7.51, 7.52, 7.53 y 7.54;
  • SAP UI 700, versión - 2.0;
  • SAP Leasing, versiones:
    • (SAP_Appl) 6.18;
    • (EA_Appl) 6.0, 6.02, 6.03, 6.04, 6.05, 6.06, 6.16 y 6.17;
Descripción: 

SAP ha publicado varias actualizaciones de seguridad de diferentes productos en su comunicado mensual.

Solución: 

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle: 

SAP, en su comunicación mensual de parches de seguridad, ha emitido un total de 6 notas de seguridad y una actualización, siendo la actualización y 4 de las notas de severidad media y otra de las notas de severidad baja.

El tipo de vulnerabilidades publicadas se corresponde a los siguientes:

  • 3 vulnerabilidades de falta de comprobación de autorización;
  • 1 vulnerabilidad de suplantación de contenido;
  • 1 vulnerabilidad de DoS (Denial of Service);
  • 1 vulnerabilidad de XSS (Cross-Site Scripting);
  • 1 vulnerabilidad de otro tipo.

Para estas vulnerabilidades se han reservado los siguientes identificadores: CVE-2020-6305, CVE-2020-6304, CVE-2020-6303, CVE-2020-6307, CVE-2019-0388 y CVE-2020-6306.

Encuesta valoración

Boletín de seguridad de Microsoft de enero de 2020

Fecha de publicación: 
15/01/2020
Importancia: 
5 - Crítica
Recursos afectados: 
  • Microsoft Windows;
  • Internet Explorer;
  • Microsoft Office, Microsoft Office Services y Web Apps;
  • ASP.NET Core;
  • .NET Core;
  • .NET Framework;
  • OneDrive para Android;
  • Microsoft Dynamics;
Descripción: 

La publicación de actualizaciones de seguridad de Microsoft correspondiente al mes de enero consta de 50 vulnerabilidades, 8 clasificadas como críticas y 42 como importantes.

Solución: 

Instalar la actualización de seguridad correspondiente. En la página de información de la instalación de las mismas actualizaciones, se informa de los distintos métodos para llevarlas a cabo.

Detalle: 

Las vulnerabilidades publicadas se corresponden con los siguientes tipos:

  • divulgación de información,
  • escalada de privilegios,
  • denegación de servicio,
  • ejecución remota de código,
  • omisión de característica de seguridad,
  • suplantación de identidad.

Encuesta valoración

Vulnerabilidad en VMware Tools

Fecha de publicación: 
15/01/2020
Importancia: 
4 - Alta
Recursos afectados: 
  • VMware Tools, versión 10.x.y para Windows.
Descripción: 

Se ha publicado una vulnerabilidad de criticidad alta. Un atacante local podría realizar una escalada de privilegios en el sistema.

Solución: 
Detalle: 

La operación de reparación de VMware Tools para Windows tiene una condición de carrera. Un atacante, en la máquina virtual invitada, podría escalar privilegios en una máquina virtual de Windows. Se ha reservado el identificador CVE-2020-3941 para esta vulnerabilidad.

Encuesta valoración