Vulnerabilidad Crítica en Veeam Recovery Orchestrator
Veeam, un proveedor de soluciones de respaldo y recuperación ante desastres, ha abordado recientemente una vulnerabilidad con severidad crítica, identificada como CVE-2024-29855, en su software Recovery Orchestrator (VRO). Esta vulnerabilidad podría permitir a atacantes no autorizados obtener acceso administrativo a la interfaz de usuario web (UI) de VRO, poniendo en riesgo los planes de recuperación ante desastres de las organizaciones. Es importante destacar que esta falla no afecta a otros productos de Veeam. La naturaleza aislada de esta vulnerabilidad resalta la importancia de las actualizaciones periódicas y la vigilancia en la gestión del software de recuperación ante desastres. Producto y…
Microsoft corrige múltiples vulnerabilidades en su Patch Tuesday de junio 2024
Microsoft realiza actualizaciones de seguridad con su Patch Tuesday de junio del 2024 en el que se aborda un total de 51 fallos de seguridad, entre las cuales se encuentra una vulnerabilidad Zero Day. En esta edición, se corrigió una vulnerabilidad crítica y se solucionaron múltiples vulnerabilidades de ejecución remota de código (RCE), así como otras categorías de vulnerabilidades como elevación de privilegios, divulgación de información y denegación de servicio. Vulnerabilidad de severidad crítica Vulnerabilidad Zero Day Otras Vulnerabilidades Notables Múltiples vulnerabilidades de RCE en Microsoft Office: Estas incluyen fallos en Microsoft Outlook que pueden ser explotados desde el panel…
Vulnerabilidad de inyección de comandos descubierta en PHP
El equipo de desarrollo de PHP ha publicado una vulnerabilidad identificada como CVE-2024-5585, con severidad alta. Esta falla permite a los atacantes ejecutar comandos arbitrarios en los sistemas afectados, incluso cuando existen mecanismos de seguridad. La vulnerabilidad surge debido a una validación insuficiente de los argumentos del comando cuando se usa la función proc_open() con sintaxis de matriz. En Windows, esto permite a los atacantes manipular argumentos de comandos incluso cuando la opción bypass_shell está habilitada, lo que genera escenarios de inyección de comandos. La explotación exitosa podría resultar en un compromiso total de los servidores afectados. Otorgando a los…
Vulnerabilidad crítica de Ejecución Remota de Código (RCE) en servidores PHP
La firma de ciberseguridad DEVCORE ha descubierto una vulnerabilidad crítica en el lenguaje de programación PHP, ampliamente utilizado en el ecosistema web. Esta vulnerabilidad podría permitir a atacantes no autenticados tomar control total de los servidores PHP afectados. Es necesario destacar que actualmente existe una PoC disponible para esta vulnerabilidad. Productos y versiones afectadas: También son vulnerables las versiones PHP 8.0, PHP 7.x y PHP 5.x, las cuales ya no disponen de soporte. Solución: Workaround Para sistemas que no se pueden actualizar inmediatamente y usuarios de versiones EoL, se recomienda aplicar una regla mod_rewrite para bloquear ataques, como la siguiente:…
Vulnerabilidad Crítica en Complemento de WordPress
Se ha descubierto una falla de seguridad crítica identificada como CVE-2024-4295, en el popular complemento de WordPress llamada Email Subscribers de Icegram Express. Esta vulnerabilidad expone a más de 90.000 sitios web a posibles ataques comprometiendo la seguridad de los datos del usuario y las credenciales de los sitios web visitados. Productos y versiones afectadas: Solución: Actualizar a las versiones más recientes de cada producto afectado para mitigar estas vulnerabilidades. La versión corregida es: Recomendaciones: Referencias:
Cisco corrige Bugs en Webex Meetings
Cisco ha emitido una advertencia de seguridad después de que los medios informaran que las reuniones de Webex del gobierno alemán quedaron expuestas, lo que podría permitir a los adversarios obtener información altamente sensible. Estas vulnerabilidades afectan a los productos Webex Meetings de Cisco, generando un riesgo significativo para la seguridad de las reuniones en línea. Las vulnerabilidades en la implementación del gobierno alemán sobre el software de videoconferencia Cisco Webex podrían haber sido explotadas para obtener enlaces a reuniones internas y a las salas de reuniones de altos funcionarios. Esto se debió a una supuesta vulnerabilidad de referencia de…
Vulnerabilidad en el Kernel de Linux
Un investigador de seguridad independiente publicó los detalles técnicos y un código de prueba de concepto (PoC) para una vulnerabilidad, identificada como CVE-2023-3390 con severidad alta, que se descubrió en el kernel de Linux, dejando los sistemas susceptibles a ataques de escalada de privilegios locales. Esta falla permite a los atacantes que ya han obtenido acceso de bajo nivel a un sistema elevar sus privilegios al nivel más alto, otorgando potencialmente un control total sobre la máquina afectada. CVE-2023-3390 (CVSS 7.8): La vulnerabilidad reside en el subsistema netfilter del kernel, responsable del filtrado de paquetes y la traducción de direcciones…
Vulnerabilidad de Apache HugeGraph RCE
Apache Software Foundation ha emitido un aviso de seguridad crítico que advierte a los usuarios sobre una vulnerabilidad de ejecución remota de código (RCE) en HugeGraph, su popular base de datos de gráficos. HugeGraph es ampliamente utilizada en diversas industrias debido a su capacidad para manejar y analizar grandes volúmenes de datos gráficos de manera eficiente. Esta vulnerabilidad, registrada como CVE-2024-27348, podría permitir a los atacantes ejecutar código arbitrario en el sistema base. Productos y versiones afectadas: Solución: Recomendaciones: Referencias
Vulnerabilidad Crítica en Plugin wpDataTables para WordPress
Se ha descubierto una vulnerabilidad crítica en wpDataTables, un plugin de WordPress ampliamente utilizado para crear tablas y gráficos. La falla, identificada como CVE-2024-3820 podría permitir a los atacantes inyectar código SQL malicioso y potencialmente obtener acceso no autorizado a datos sensibles en sitios de WordPress que utilizan la versión premium del plugin. CVE-2024-3820 (CVSS 10): Esta vulnerabilidad surge de una validación insuficiente de entradas y una desinfección inadecuada de los datos suministrados por el usuario dentro del parámetro «id_key» de la acción AJAX «wdt_delete_table_row». Este descuido permite a los atacantes crear consultas SQL maliciosas, eludiendo las medidas de seguridad y extrayendo o manipulando datos de la base…
Nueva Vulnerabilidad MySQL2
Una vulnerabilidad clasificada como crítica fue encontrada en mysql2 hasta la versión 3.9.7. La función nestTables del componente Field Handler es afectada por esta vulnerabilidad. Esto tiene repercusión genera la integridad de los datos. Ocasionando la divulgación de información o la denegación de servicio. El paquete MySQL2, se utiliza ampliamente en aplicaciones web y otros proyectos que requieren conectividad de bases de datos. Sin embargo, las versiones anteriores de mysql2 desde la 3.9.7 son vulnerables a la vulnerabilidad Prototype Pollution. Dada la amplia adopción de MySQL2 en el ecosistema de Node.js, el impacto potencial de la vulnerabilidad CVE-2024-21512 es significativo. Incontables aplicaciones web,…