Home / Node / Boletín de INCIBE-CERT del 05-12-2019

Boletín de INCIBE-CERT del 05-12-2019

Verificación inadecuada de autenticación en Palo Alto PAN-OS

Publication date: 
12/05/2019
Importance: 
4 - Alta
Affected resources: 
  • PAN-OS 7.1, versiones anteriores a la 7.1.25;
  • PAN-OS 8.0, versiones anteriores a la 8.0.20;
  • PAN-OS 8.1, versiones anteriores a la 8.1.11;
  • PAN-OS 9.0, versiones anteriores a la 9.0.5.
Description: 

Palo Alto ha publicado una vulnerabilidad en PAN-OS que podría permitir a un atacante escalar privilegios

Solution: 

Actualizar a las versiones 7.1.25, 8.0.20, 8.1.11, 9.0.5 o posteriores.

Detail: 

Una comprobación de autenticación inadecuada en PAN-OS de Palo Alto Networks podría permitir a un atacante, con un rol personalizado de permisos reducidos, escalar privilegios y convertirse en superusuario. Este problema sólo afecta a los dispositivos configurados con el rol mencionado anteriormente. Se ha reservado el identificador CVE-2019-17437 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en productos de Netgear

Publication date: 
12/05/2019
Importance: 
5 - Crítica
Affected resources: 
  • D3600, versiones anteriores a la versión 1.0.0.76; 
  • D6000, versiones anteriores a la versión 1.0.0.76; 
  • D6200, versiones anteriores a la versión 1.1.00.36; 
  • D7000, versiones anteriores a la versión 1.0.1.74; 
  • D7000v2, versiones anteriores a la versión 1.0.0.53; 
  • DM200, versiones anteriores a la versión 1.0.0.58; 
  • EX3700, versiones anteriores a la versión 1.0.0.70; 
  • EX3800, versiones anteriores a la versión 1.0.0.70; 
  • EX6000, versiones anteriores a la versión 1.0.0.30; 
  • EX6100, versiones anteriores a la versión 1.0.2.24; 
  • EX6120, versiones anteriores a la versión 1.0.0.40; 
  • EX6130, versiones anteriores a la versión 1.0.0.22; 
  • EX6150v1, versiones anteriores a la versión 1.0.0.42; 
  • EX6200, versiones anteriores a la versión 1.0.3.88; 
  • EX7000, versiones anteriores a la versión 1.0.0.66; 
  • JR6150, versiones anteriores a la versión 1.0.1.24; 
  • MR1100, versiones anteriores a la versión 12.06.08.00; 
  • PR2000, versiones anteriores a la versión 1.0.0.28; 
  • R6020, versiones anteriores a la versión 1.0.0.42; 
  • R6050, versiones anteriores a la versión 1.0.1.24; 
  • R6080, versiones anteriores a la versión 1.0.0.42; 
  • R6120, versiones anteriores a la versión 1.0.0.48; 
  • R6220, versiones anteriores a la versión 1.1.0.86; 
  • R6230, versiones anteriores a la versión 1.1.0.86; 
  • R6260, versiones anteriores a la versión 1.1.0.64; 
  • R6700, versiones anteriores a la versión 1.0.2.6; 
  • R6700v2, versiones anteriores a la versión 1.2.0.62; 
  • R6800, versiones anteriores a la versión 1.2.0.62; 
  • R6900, versiones anteriores a la versión 1.0.2.4; 
  • R6900P, versiones anteriores a la versión 1.3.1.64; 
  • R6900v2, versiones anteriores a la versión 1.2.0.62; 
  • R7000, versiones anteriores a la versión 1.0.9.60; 
  • R7000P, versiones anteriores a la versión 1.3.1.64; 
  • R7800, versiones anteriores a la versión 1.0.2.60; 
  • R7900, versiones anteriores a la versión 1.0.3.8; 
  • R7900P, versiones anteriores a la versión 1.4.1.30; 
  • R8000, versiones anteriores a la versión 1.0.4.46; 
  • R8000P, versiones anteriores a la versión 1.4.1.30; 
  • R8300, versiones anteriores a la versión 1.0.2.128; 
  • R8500, versiones anteriores a la versión 1.0.2.128; 
  • R8900, versiones anteriores a la versión 1.0.4.12; 
  • R9000, versiones anteriores a la versión 1.0.4.12; 
  • RAX40, versiones anteriores a la versión 1.0.3.64; 
  • WAC505, versiones anteriores a la versión 8.2.1.16; 
  • WAC510, versiones anteriores a la versión 8.2.1.16; 
  • WN2500RPv2, versiones anteriores a la versión 1.0.1.54; 
  • WNR2000v5, versiones anteriores a la versión 1.0.0.72; 
  • WNR2020, versiones anteriores a la versión 1.1.0.62; 
  • WNR614, versiones anteriores a la versión 1.1.0.54; 
  • XR500, versiones anteriores a la versión 2.3.2.56; 
  • XR700, versiones anteriores a la versión 1.0.1.20; 
Description: 

Netgear ha publicado 21 vulnerabilidades, 1 de severidad crítica y 20 de severidad alta, que afectan a sus productos.

Solution: 

Acceder a la página de soporte de Netgear, y descargar la última versión del firmware del dispositivo afectado.

Detail: 
  • La vulnerabilidad de severidad crítica podría permitir a un atacante evadir la autenticación del dispositivo afectado.
  • Las vulnerabilidades de severidad alta podrían permitir a un atacante realizar las siguientes acciones:
    • CSRF (Cross Site Request Forgery),
    • evasión de autenticación,
    • desbordamiento del búfer antes de la autenticación,
    • desbordamiento de la pila antes de la autenticación,
    • acceso no autorizado,
    • inyección de comandos después de la autenticación,
    • desbordamiento del búfer después de la autenticación,
    • generar una condición de denegación de servicio,
    • divulgación de información sensible,
    • divulgación de las credenciales de administrador.

Encuesta valoración

Múltiples vulnerabilidades en Liferay

Publication date: 
12/04/2019
Importance: 
5 - Crítica
Affected resources: 

Liferay Portal, versión 7.2.0 y anteriores.

Description: 

Se han detectado 6 vulnerabilidades, una con severidad crítica y cinco con severidades altas. Un atacante remoto podría obtener credenciales de usuario, ejecución o inyección de código, generar una condición de denegación de servicio (DoS) o realizar acciones sin autorización sobre los recursos del sistema.

Solution: 

Actualizar la versión Liferay Portal 7.2.1 o posterior, cuando esté disponible.

Detail: 
  • La vulnerabilidad de severidad crítica podría permitir a un atacante remoto ejecutar código a través de JSON web services (JSONWS).
  • Las vulnerabilidades catalogadas como altas son debidas a:
    • un fallo en el widget «Sing In» podría revelar las credenciales del usuario en el HTLM.
    • una vulnerabilidad de redirección abierta en los Ajustes de la Cuenta (Account Settings).
    • la API JSONWS /user/send-password-by-*  podría ser utilizada para generar una condición de denegación de servicio en el servidor de correo.
    • múltiples errores en los permisos podrían permitir a usuarios realizar acciones no autorizadas sobre los recursos del sistema.
    • múltiples vulnerabilidades del tipo Cross-site-scripting (XSS) podrían permitir la inyección de código.

Encuesta valoración