Necesita actualizar Google Chrome, Windows y Zoom ahora

Otros problemas solucionados en octubre fueron un desbordamiento del búfer de pila en WebSQL rastreado como CVE-2022-3446 y un error de uso después de la liberación en la API de permisos rastreado como CVE-2022-3448, escribió Google en el blog this. Google también corrigió dos errores de uso después de la liberación en Navegación segura y Conexión entre pares.

googleandroid

El Boletín de seguridad de Android de octubre incluye correcciones para 15 fallas de marco y sistema y 33 problemas de componentes de kernel y proveedores. Uno de los problemas más preocupantes es una vulnerabilidad de seguridad crítica en el componente Framework que podría conducir a una elevación local de privilegios, rastreada como CVE-2022-20419. Mientras tanto, una falla del Kernel también puede conducir a una escalada de privilegios locales sin necesidad de privilegios de ejecución adicionales.

No se sabe que ninguno de los problemas se haya utilizado en ataques, pero aún tiene sentido verificar su dispositivo y actualizarlo cuando pueda. Google ha lanzado la actualización de sus dispositivos Pixel y también está disponible para los teléfonos inteligentes de las series Samsung Galaxy S21 y S22 y Galaxy S21 FE.

cisco

Cisco instó a las empresas a reparar dos fallas en su Cliente de movilidad segura AnyConnect para Windows después de confirmar que las vulnerabilidades se estaban utilizando en ataques. Rastreado como CVE-2020-3433, el primero podría permitir que un atacante con credenciales válidas de Windows ejecute código en una máquina afectada con privilegios del sistema.

Mientras tanto, CVE-2020-3153 podría permitir que un atacante con credenciales válidas de Windows copie archivos maliciosos en ubicaciones arbitrarias con privilegios de nivel de sistema.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. agregó las fallas de Cisco a su catálogo de vulnerabilidades ya utilizado.

Aunque ambas fallas de Cisco requieren que el atacante esté autenticado, aún es importante actualizar ahora.

Acercarse

El servicio de videoconferencia Zoom solucionó varios problemas en octubre, incluida una falla en su cliente Zoom para reuniones, que se marcó como de alta gravedad con un puntaje CVSS de 8.8. Zoom dice que las versiones anteriores a la versión 5.12.2 son susceptibles a una vulnerabilidad de análisis de URL rastreada como CVE-2022-28763.

“Si se abre una URL de reunión de Zoom maliciosa, el enlace puede dirigir al usuario a conectarse a una dirección de red arbitraria, lo que genera ataques adicionales, incluido el secuestro de sesión”, dijo Zoom en un boletín de seguridad.

A principios de mes, Zoom alertó a los usuarios de que su cliente para reuniones para macOS a partir de 5.10.6 y antes de 5.12.0 contenía una configuración incorrecta del puerto de depuración.

VMWare

El gigante del software VMWare ha parcheado una vulnerabilidad grave en su Cloud Foundation

Seguimiento como CVE-2021-39144. La vulnerabilidad de ejecución remota de código a través de la biblioteca de código abierto XStream se clasifica como crítica con una puntuación base máxima de CVSSv3 de 9,8. “Debido a un punto final no autenticado que usa XStream para serializar la entrada a VMware Cloud Foundation, un actor malintencionado podría obtener la ejecución remota de código en el contexto de ‘raíz’ en el dispositivo”, dijo VMWare en un aviso.

La actualización de VMware Cloud Foundation también soluciona una vulnerabilidad de entidad externa XML con una puntuación CVSSv3 más baja de 5,3. Rastreado como CVE-2022-31678, el error podría permitir que un usuario no autenticado realice una denegación de servicio.

Zimbra

La firma de software Zimbra ha emitido parches para corregir una falla de ejecución de código explotada que podría permitir que un atacante acceda a las cuentas de los usuarios. El problema, rastreado como CVE-2022-41352, tiene una puntuación de gravedad CVSS de 9,8.

El exploit fue descubierto por investigadores de Rapid7, quienes identificaron signos de que se usó en ataques. Inicialmente, Zimbra lanzó una solución para solucionar este problema, pero ahora que el parche está disponible, debe aplicarlo lo antes posible.

SAVIA

La empresa de software empresarial SAP publicó 23 Notas de seguridad nuevas y actualizadas en su Patch Day de octubre. Entre los problemas más graves se encuentra una vulnerabilidad crítica en Path Traversal en SAP Manufacturing Execution. La vulnerabilidad afecta a dos complementos: Work Instruction Viewer y Visual Test and Repair y tiene una puntuación CVSS de 9,9.

Otro problema con una puntuación CVSS de 9,6 es una vulnerabilidad de secuestro de cuenta en la página de inicio de sesión de SAP Commerce.

Oráculo

El gigante del software Oracle ha lanzado la friolera de 370 parches como parte de su actualización de seguridad trimestral. La actualización de parches críticos de Oracle para octubre corrige 50 vulnerabilidades clasificadas como críticas.

La actualización contiene 37 nuevos parches de seguridad para Oracle MySQL, 11 de los cuales se pueden explotar de forma remota sin autenticación. También contiene 24 nuevos parches de seguridad para aplicaciones de servicios financieros de Oracle, 16 de los cuales se pueden explotar de forma remota sin autenticación.

Debido a la “amenaza que representa un ataque exitoso”, Oracle “recomienda encarecidamente” que los clientes apliquen los parches de seguridad Critical Patch Update lo antes posible.

Leave a Reply

Your email address will not be published. Required fields are marked *