Home / Node / Boletín de INCIBE-CERT del 27-08-2021

Boletín de INCIBE-CERT del 27-08-2021

Vulnerabilidad de inyección OGNL en productos Confluence de Atlassian

Publication date: 
08/27/2021
Importance: 
5 - Crítica
Affected resources: 

Confluence Server y Confluence Data Center, versiones:

  • anteriores a la 6.13.23;
  • de la 6.14.0 a la 7.4.11;
  • de la 7.5.0 a la 7.11.6;
  • de la 7.12.0 a la 7.12.5.
Description: 

El investigador Benny Jacob (SnowyOwl) ha reportado a Atlassian una vulnerabilidad de severidad crítica que podría permitir a un atacante, autenticado o no, la ejecución de código arbitrario.

Solution: 

Actualizar a la versión 6.13.23, 7.4.11, 7.11.6, 7.12.5 o 7.13.0, según indica el aviso del fabricante.

Detail: 

Una vulnerabilidad de inyección OGNL podría permitir a un atacante autenticado, o no autenticado en algunos casos, la ejecución de código arbitrario. Se ha asignado el identificador CVE-2021-26084 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en varios productos de F5

Publication date: 
08/27/2021
Importance: 
5 - Crítica
Affected resources: 
  • BIG-IP (todos los módulos),
  • BIG-IQ.

Consultar en el aviso del fabricante el detalle de las versiones afectadas.

Description: 

F5 ha publicado una vulnerabilidad de severidad crítica, doce de severidad alta, quince de severidad media y una de severidad baja. La crítica, podría permitir a un atacante autenticado, la ejecución de comandos arbitrarios, crear o eliminar archivos o deshabilitar servicios.

Solution: 

Actualizar a las versiones correspondientes a cada producto afectado, según indica el aviso del fabricante.

Detail: 

Una vulnerabilidad en BIG-IP Advanced WAF y ASM TMUI podría permitir a un atacante, autenticado y con acceso a la función de configuración, realizar una escalada de privilegios y así ejecutar comandos arbitrarios, crear o eliminar archivos, o deshabilitar servicios. Se ha asignado el identificador CVE-2021-23031 para esta vulnerabilidad que es crítica si el modo Appliance está activado. Si el anterior modo no estuviera activado, la vulnerabilidad pasaría a ser de severidad alta.

Para las vulnerabilidades de severidad alta se han asignado los identificadores: CVE-2021-23025, CVE-2021-23026, CVE-2021-23027, CVE-2021-23028, CVE-2021-23029, CVE-2021-23030, CVE-2021-23032, CVE-2021-23033, CVE-2021-23034, CVE-2021-23035, CVE-2021-23036 y CVE-2021-23037.

Para las vulnerabilidades de severidad  media se han asignado los identificadores: CVE-2021-23038, CVE-2021-23039, CVE-2021-23040, CVE-2021-23041, CVE-2021-23042, CVE-2021-23043, CVE-2021-23044, CVE-2021-23045, CVE-2021-23046, CVE-2021-23047, CVE-2021-23048, CVE-2021-23049, CVE-2021-23050, CVE-2021-23051 y CVE-2021-23052.

Para la vulnerabilidad de severidad baja se ha asignado el identificador: CVE-2021-23053.

Encuesta valoración

Múltiples vulnerabilidades en OpenSSL

Publication date: 
08/26/2021
Importance: 
4 - Alta
Affected resources: 
  • OpenSSL, versión 1.1.1k y anteriores;
  • OpenSSL, versión 1.0.2y y anteriores
Description: 

Los investigadores John Ouyang e Ingo Schwarze han reportado a OpenSSL una vulnerabilidad de severidad alta y otra de severidad media que podrían permitir a un atacante causar una condición de denegación de servicio o divulgar información sensible.

Solution: 

Actualizar a la versión 1.1.1l, salvo los usuarios con soporte Premium de OpenSSL 1.0.2 que deberán actualizar a la versión 1.0.2za.

Las versiones OpenSSL 1.0.2 y 1.1.0 dejan de recibir soporte, por lo que los usuarios deben actualizar a la versión 1.1.1l.

Detail: 

Una vulnerabilidad de desbordamiento de búfer, siendo el basado en memoria dinámica (heap) el más común, debida a un error en la implementación del código de descifrado SM2, podría permitir a un atacante causar una condición de denegación de servicio o cambiar el comportamiento de una aplicación. Se ha asignado el identificador CVE-2021-3711 para esta vulnerabilidad de severidad alta.

Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2021-3712.

Encuesta valoración

Control de acceso inadecuado en productos APIC de Cisco

Publication date: 
08/26/2021
Importance: 
5 - Crítica
Affected resources: 

Versiones de software 3.2 y anteriores, 4.0, 4.1, 4.2, 5.0 y 5.1 de los siguientes productos:

  • Cisco APIC;
  • Cisco Cloud APIC.
Description: 

Cisco ha reportado una vulnerabilidad de severidad crítica por la que un atacante remoto no autenticado podría leer o escribir archivos arbitrarios.

Solution: 

Actualizar a la versión corregida según corresponda:

  • para versiones anteriores a la 3.2, 4.0, 4.1 y 5.0, migrar a una versión corregida;
  • para la versión 3.2, actualizar a la 3.2 (10e);
  • para la versión 4.2, actualizar a la 4.2 (6h);
  • para la versión 5.1, actualizar a la 5.1 (3e).
Detail: 

Un control de acceso inadecuado podría permitir a un atacante, remoto y no autenticado, leer o escribir archivos arbitrarios, cargando un archivo en un dispositivo a través de un punto final específico de la API de los productos afectados. Se ha asignado el identificador CVE-2021-1577 para esta vulnerabilidad.

Encuesta valoración