Inicio / Content / Boletín de INCIBE-CERT del 15-09-2021

Boletín de INCIBE-CERT del 15-09-2021

Actualización de seguridad de SAP de septiembre de 2021

Fecha de publicación: 
15/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • SAP Business Client, versión 6.5, 7.0 y 7.70;
  • SAP NetWeaver Application Server Java (JMS Connector Service), versión 7.11, 7.20, 7.30, 7.31, 7.40 y 7.50;
  • SAP Business One, versión 10.0;
  • SAP S/4HANA, versión 1511, 1610, 1709, 1809, 1909, 2020 y 2021;
  • SAP LT Replication Server, versión 2.0 y 3.0;
  • SAP LTRS for S/4HANA, versión 1.0;
  • SAP Test Data Migration Server, versión 4.0;
  • SAP Landscape Transformation, versión 2.0;
  • SAP NetWeaver (Visual Composer 7.0 RT), versión 7.30, 7.31, 7.40 y 7.50;
  • SAP NetWeaver Knowledge Management XML Forms, versión 7.10, 7.11, 7.30, 7.31, 7.40 y 7.50;
  • SAP Contact Center, versión 700;
  • SAP Web Dispatcher:
    • WEBDISP, versión 7.49, 7.53, 7.77 y 7.81;
    • KRNL64NUC, versión 7.22, 7.22EXT y 7.49;
    • KRNL64UC, versión 7.22, 7.22EXT, 7.49 y 7.53;
    • KERNEL, versión 7.22, 7.49, 7.53, 7.77, 7.81 y 7.83;
  • SAP Analysis for Microsoft Office, versión 2.8;
  • SAP BusinessObjects Business Intelligence Platform (BI Workspace), versión 420;
  • SAP ERP Financial Accounting (RFOPENPOSTING_FR):
    • SAP_APPL, versión 600, 602, 603, 604, 605, 606 y 616;
    • SAP_FIN, versión 617, 618, 700, 720 y 730;
    • SAPSCORE, versión 125, S4CORE, 100, 101, 102, 103, 104 y 105;
  • SAP NetWeaver Enterprise Portal, versión 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 y 7.50;
  • SAP 3D Visual Enterprise Viewer, versión 9.0.
Descripción: 

SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.

Solución: 

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle: 

SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 17 notas de seguridad y 2 actualizaciones de notas anteriores, siendo 7 de severidad crítica, 2 de severidad alta y 10 de severidad media.

Los tipos de vulnerabilidades publicadas se corresponden con los siguientes:

  • 1 vulnerabilidad de inyección de código,
  • 4 vulnerabilidades de XSS (Cross-Site Scripting),
  • 3 vulnerabilidades de revelación de información,
  • 2 vulnerabilidades de falta de comprobación de autenticación,
  • 2 vulnerabilidades de inyección de comandos del SO,
  • 2 vulnerabilidades de inyección SQL,
  • 2 vulnerabilidades de subida de archivos no restringida,
  • 6 vulnerabilidades de otro tipo.

Las notas de seguridad más destacadas se refieren a:

  • SAP NetWeaver Application Server Java (JMS Connector Service): se ha corregido una vulnerabilidad de falta de comprobación de autenticación que podría permitir a un atacante leer, modificar o eliminar datos restringidos. Se ha asignado el identificador CVE-2021-37535 para esta vulnerabilidad crítica.
  • SAP NetWeaver Knowledge Management: se ha corregido una vulnerabilidad que podría permitir a un atacante, no autenticado y sin privilegios de administrador, la inyección de código. Se ha asignado el identificador CVE-2021-37531 para esta vulnerabilidad crítica.
  • SAP NetWeaver (Visual Composer 7.0 RT): se ha corregido una vulnerabilidad de subida de archivos no restringida que podría permitir a un atacante sin privilegios de administrador realizar una escalada de privilegios para leer o modificar información del servidor o causar una condición de denegación de servicio. Se ha asignado el identificador CVE-2021-38163 para esta vulnerabilidad crítica.
  • SAP Contact Center: se han corregido vulnerabilidades de inyección de comandos del SO y XSS reflejado que podrían permitir a un atacante comprometer la confidencialidad, integridad y disponibilidad de la aplicación, inyectando un script malicioso en un mensaje de chat y aprovechando los controles ActiveX. Se ha asignado el identificador CVE-2021-33672 para estas vulnerabilidades críticas.
  • SAP NZDT Mapping Table Framework: se ha corregido una vulnerabilidad de inyección SQL que podría permitir a un atacante, autenticado y con privilegios, realizar consultas manipuladas para acceder a la base de datos del backend. Se ha asignado el identificador CVE-2021-38176 para esta vulnerabilidad crítica.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-33698, CVE-2021-38162, CVE-2021-38177, CVE-2021-33685, CVE-2021-38175, CVE-2021-38150, CVE-2021-33679, CVE-2021-38164, CVE-2021-33686, CVE-2021-21489, CVE-2021-33688, CVE-2021-37532 y CVE-2021-38174.

Encuesta valoración

Control de acceso incorrecto en el controlador ShareFile de Citrix

Fecha de publicación: 
15/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Citrix ShareFile, todas las versiones anteriores a la 5.11.20.

Descripción: 

Markus Wulftange de Code White GmbH ha notificado una vulnerabilidad crítica que permitiría a un atacante, remoto y no autenticado, comprometer el controlador de zonas de almacenamiento de Citrix ShareFile.

Solución: 

Actualizar Citrix ShareFile a la versión 5.11.20 o posteriores.

Detalle: 

El controlador de zonas de almacenamiento de Citrix ShareFile contiene una vulnerabilidad de control inadecuado de los recursos que podría permitir a un atacante, remoto y no autenticado, comprometerlos siempre y cuando tenga acceso a la red del controlador. Se ha asignado el identificador CVE-2021-22941 para esta vulnerabilidad.

Encuesta valoración

Vulnerabilidad de Cross Site Scripting en TIBCO WebFOCUS

Fecha de publicación: 
15/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • TIBCO WebFOCUS Client, versiones 8207.27.0 y anteriores;
  • TIBCO WebFOCUS Installer, versiones 8207.27.0 y anteriores;
  • TIBCO WebFOCUS Reporting Server, versiones 8207.27.0 y anteriores;
  • componente WebFOCUS Reporting Server;
  • componente WebFOCUS Client.
Descripción: 

Una vulnerabilidad de Cross Site Scripting podría permitir a un atacante con bajos privilegios ejecutar scripts en el sistema de la víctima.

Solución: 

Actualizar a:

  • TIBCO WebFOCUS Client, versión 8207.28.0 o posterior;
  • TIBCO WebFOCUS Installer, versión 8207.28.0 o posterior;
  • TIBCO WebFOCUS Reporting Server, versión 8207.28.0 o posterior.
Detalle: 

Una vulnerabilidad de Cross Site Scripting, fácilmente explotable, podría permitir a un atacante con bajos privilegios, hacer que un usuario legítimo, con acceso a la red, ejecute scripts en el sistema, mediante ingeniería social. Se ha asignado el identificador CVE-2021-35493 para esta vulnerabilidad.

Encuesta valoración

 

Actualizaciones de seguridad de Microsoft de septiembre de 2021

Fecha de publicación: 
15/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • Azure Open Management Infrastructure,
  • Azure Sphere,
  • Dynamics Business Central Control,
  • Microsoft Accessibility Insights para Android,
  • Microsoft Edge (basado en Chromium),
  • Microsoft Edge para Android,
  • Microsoft MPEG-2 Video Extension,
  • Microsoft Office,
  • Microsoft Office Access,
  • Microsoft Office Excel,
  • Microsoft Office SharePoint,
  • Microsoft Office Visio,
  • Microsoft Office Word,
  • Microsoft Windows Codecs Library,
  • Microsoft Windows DNS,
  • Visual Studio,
  • Windows Ancillary Function Driver para WinSock,
  • Windows Authenticode,
  • Windows Bind Filter Driver,
  • Windows BitLocker,
  • Windows Common Log File System Driver,
  • Windows Event Tracing,
  • Windows Installer,
  • Windows Kernel,
  • Windows Key Storage Provider,
  • Windows MSHTML Platform,
  • Windows Print Spooler Components,
  • Windows Redirected Drive Buffering,
  • Windows Scripting,
  • Windows SMB,
  • Windows Storage,
  • Windows Subsystem para Linux,
  • Windows TDX.sys,
  • Windows Update,
  • Windows Win32K,
  • Windows WLAN Auto Config Service,
  • Windows WLAN Service.
Descripción: 

La publicación de actualizaciones de seguridad de Microsoft, correspondiente al mes de septiembre, consta de 86 vulnerabilidades, clasificadas 3 como críticas, 62 como importantes, 1 como moderada y 20 sin severidad asignada (de Microsoft Edge).

Solución: 

Instalar la actualización de seguridad correspondiente. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.

Detalle: 

Las vulnerabilidades publicadas se corresponden con los siguientes tipos:

  • denegación de servicio,
  • escalada de privilegios,
  • divulgación de información,
  • ejecución remota de código,
  • omisión de función de seguridad,
  • suplantación de identidad (spoofing),
  • modificación de los parámetros que se envían al servidor web como puntos de entrada de la aplicación (tampering),

Microsoft también ha corregido 2 vulnerabilidades 0-day con la siguiente casuística:

  • 1 vulnerabilidad divulgada públicamente, pero no explotada activamente: CVE-2021-36968;
  • 1 vulnerabilidad explotada activamente: CVE-2021-40444.

Encuesta valoración