Vulnerabilidad Zero Day en Google Chrome
Google, una prominente empresa tecnológica, ha lanzado actualizaciones de emergencia para corregir una vulnerabilidad crítica de día cero en Chrome que fue aprovechada en ataques en el entorno digital. Esta vulnerabilidad, catalogada como CVE-2023-7024, de nivel Crítica 9.8 plantea un riesgo sustancial para los usuarios. Esta vulnerabilidad Zero Day, se origina en una debilidad de desbordamiento de búfer en el marco WebRTC de código abierto. WebRTC desempeña un papel crucial en diversos navegadores web, entre ellos Mozilla Firefox, Safari y Microsoft Edge, proporcionando funciones de comunicación en tiempo real (RTC), como la transmisión de video, el intercambio de archivos y…
Microsoft corrige múltiples vulnerabilidades en su Patch Tuesday de diciembre 2023 incluyendo un Zero Day
Microsoft realiza actualizaciones de seguridad con su Patch Tuesday de diciembre de 2023 en el que se aborda cerca de 34 fallas, entre las cuales se encuentra 1 vulnerabilidades Zero Day explotada activamente. Entre las fallas corregidas también se tiene 1 vulnerabilidad que han sido catalogadas con severidad “Crítica” ya que podrían permitir, a los actores maliciosos, suplantar la identidad del usuario. Categorías de las vulnerabilidades abordadas Vulnerabilidades de ejecución remota de código Vulnerabilidades elevación de privilegios Vulnerabilidades de divulgación de información Vulnerabilidades de suplantación de identidad Vulnerabilidades de denegación de servicio Vulnerabilidades de Zero Day Microsoft clasifica una vulnerabilidad…
Vulnerabilidad en plugin Contact Form 7 de WordPress
Se ha identificado una vulnerabilidad en Contact Form 7, un popular plugin de WordPress con más de 5 millones de instalaciones identificador CVE-2023-6449, con una puntuación Media CVSS de 6,6. Esta vulnerabilidad podría permitir a actores maliciosos cargar archivos de manera arbitraria en un sitio web afectado, presentando así un riesgo significativo de seguridad. La explotación de esta vulnerabilidad podría llevar a un acceso no autorizado al sitio web o incluso permitir la ejecución de código malicioso. La causa de esta vulnerabilidad reside en las insuficiencias en los mecanismos de validación de tipos de archivos y listas de bloqueo dentro…
Vulnerabilidad detectada en plugin MW WP Form de WordPress
El complemento MW WP Form, reconocido por su habilidad instintiva para generar formularios, tiene un problema crítico. A pesar de contar con más de 200.000 instalaciones activas, una vulnerabilidad grave se ha detectado, planteando una amenaza seria pero sigilosa. Se identifica como una vulnerabilidad de carga de archivos arbitrarios no autenticados, permitiendo a atacantes infiltrarse y ejecutar código malicioso en el servidor de un sitio web. Identificada como CVE-2023-6316, esta vulnerabilidad ha sido calificada como Crítica con un puntaje CVSS de 9,8, considerándola crítica. Esta puntuación refleja la facilidad con la que puede ser explotada y el daño potencial que…
Servidores Microsoft Exchange vulnerables son expuestos a ataques RCE
Existe un número significativo y alarmante de servidores de correo electrónico de Microsoft Exchange (expuestos en la Internet pública) en Europa, Estados Unidos y Asia, que son vulnerables a fallas de ejecución remota de código (RCE). Esto debido a que ejecutan versiones de software obsoleto, mismos que no son compatibles y que ya no reciben actualizaciones, lo que los hace vulnerables a varios fallos de seguridad, algunos de los cuales tienen clasificaciones de gravedad crítica. Escaneos de Internet recientes realizados por The ShadowServer Foundation han revelado que casi 20.000 servidores Microsoft Exchange que han llegado a la etapa de fin de…
Nueva vulnerabilidad Zero Day en Google Chrome
Google ha lanzado actualizaciones de seguridad para abordar varias vulnerabilidades en su motor de búsqueda Chrome, entre las cuales se tiene una catalogada como Zero Day, misma que está siendo activamente explotada. La vulnerabilidad identificada como CVE-2023-6345 y catalogada con severidad ALTA aún no dispone de un CVSS, se describe como un error de desbordamiento de enteros (integer overflow) en Skia, una biblioteca de gráficos 2D de código abierto. Esta falla podría generar una variedad de riesgos, incluso podría permitir la ejecución de código arbitrario. La biblioteca Skia también se utiliza como motor gráfico en otros productos como ChromeOS, Android…
Vulnerabilidad detectada en WPS Office
WPS Office, anteriormente conocido como Kingsoft Office, es una suite (conjunto de aplicaciones ofimáticas en la nube) muy utilizada tanto en entornos corporativos como individuales debido a su versatilidad. Incluye diversas aplicaciones como WPS Spreadsheets, WPS Presentation y WPS Writer, que abordan diferentes requisitos de edición de documentos y gestión de hojas de cálculo. La difusión extensa de esta suite hace que el hallazgo de esta vulnerabilidad sea preocupante. La vulnerabilidad ha sido identificada como CVE-2023-31275 y catalogada con severidad ALTA con un puntaje CVSS de 8.8, fue descubierta por Marcin ‘Icewall’ Noga de Cisco Talos. El origen del problema…
Vulnerabilidades en el plugin UserPro de WordPress
Recientemente se ha identificado nuevas vulnerabilidades de gravedad Crítica en el plugin UserPro de WordPress, las cuales se describen de la siguiente manera: CVE-2023-2449 -> CVSS 9.8 Esta vulnerabilidad permite restablecimientos de contraseña no autorizados en versiones hasta la 5.1.1 inclusive. La razón de esto radica en el uso de la funcionalidad nativa de restablecimiento de contraseña por parte del plugin, con una validación insuficiente en la función de restablecimiento de contraseña (userpro_process_form). En esta función, se emplea el valor de texto sin formato de una clave de restablecimiento de contraseña en lugar de un valor hash, lo que facilita…
Vulnerabilidad RCE presente en Microsoft Office Professional Plus 2019 Excel
Recientemente, Talos, el grupo de inteligencia de Cisco, ha revelado detalles sobre una vulnerabilidad alta encontrada en Microsoft Excel, una herramienta ampliamente utilizada en la gestión y análisis de datos. Identificada como CVE-2023-36041, con una puntuación CVSS de 7.8, esta vulnerabilidad reside en el procesamiento del atributo ElementType dentro de Microsoft Office Professional Plus 2019 Excel. Para explotar esta vulnerabilidad, un atacante necesitaría persuadir al usuario objetivo para que abra una hoja de cálculo de Excel diseñada. Al abrir dicho archivo malicioso, el atacante podría tomar el control del sistema del usuario, lo que podría resultar en el robo de…
PoC lanzado para vulnerabilidad RCE en Visual Studio Code
Los expertos en seguridad han expuesto información técnica sobre una vulnerabilidad de ejecución remota de código en Visual Studio Code, registrada como CVE-2023-36742 con puntuación CVSS de 7.8 junto con un exploit de prueba de concepto público. Se manifiesta al trabajar con un archivo package.json creado maliciosamente, lo que puede llevar a la ejecución de comandos localmente. La explotación ocurre cuando un atacante persuade a un usuario de VS Code para abrir un proyecto malicioso e interactuar con entradas mal formateadas en las secciones de dependencias del archivo package.json. VS Code utiliza el comando npm local para obtener información sobre…