CVE-2024-1553 y CVE-2024-1557 son errores de seguridad de la memoria clasificados como de alta gravedad. «Algunos de estos errores mostraron evidencia de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido aprovechados para ejecutar código arbitrario», dijeron los investigadores de Mozilla.
Zoom
El gigante de las videoconferencias Zoom ha publicado correcciones para siete fallas en su software, una de las cuales tiene una puntuación CVSS de 9,6. CVE-2024-24691 es un error de validación de entrada incorrecta en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows. Si se explota, el problema puede permitir que un atacante no autenticado aumente sus privilegios a través del acceso a la red, dijo Zoom en un boletín de seguridad.
Otra falla notable es CVE-2024-24697, un problema de ruta de búsqueda no confiable en algunos clientes Zoom de Windows de 32 bits que podría permitir que un usuario autenticado con acceso local escale sus privilegios.
Ivanti
En enero, Ivanti advirtió que los atacantes estaban apuntando a dos vulnerabilidades sin parches en sus productos Connect Secure y Policy Secure, rastreadas como CVE-2023-46805 y CVE-2024-21887. Con una puntuación CVSS de 8,2, la primera vulnerabilidad de omisión de autenticación en el componente web de Ivanti Connect Secure e Ivanti Policy Secure permite a un atacante remoto acceder a recursos restringidos eludiendo las comprobaciones de control.
Con una puntuación CVSS de 9,1, la segunda vulnerabilidad de inyección de comandos en los componentes web de Ivanti Connect Secure e Ivanti Policy Secure permite a un administrador autenticado enviar solicitudes especialmente diseñadas y ejecutar comandos arbitrarios en el dispositivo. Esta vulnerabilidad se puede explotar a través de Internet.
A finales de mes, la empresa alertó a las empresas sobre otros dos fallos graves, uno de los cuales estaba siendo aprovechado en ataques. El problema explotado es un error de falsificación de solicitudes del lado del servidor en el componente SAML rastreado como CVE-2024-21893. Mientras tanto, CVE-2024-21888 es una vulnerabilidad de escalada de privilegios.
Los parches estuvieron disponibles el 1 de febrero, pero los problemas se consideraron tan graves que la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) recomendó desconectar todos los productos Ivanti antes del 2 de febrero.
El 8 de febrero, Ivanti lanzó un parche para otro problema identificado como CVE-2024-22024, lo que provocó otra advertencia de CISA.
Fortinet
Fortinet ha publicado un parche para un problema crítico con una puntuación CVSS de 9,6, que, según afirma, ya se está utilizando en ataques. Registrada como CVE-2024-21762, la falla de ejecución de código afecta las versiones 6.0, 6.2, 6.4, 7.0, 7.2 y 7.4 de FortiOS. La vulnerabilidad de escritura fuera de límites se puede utilizar para la ejecución de código arbitrario mediante solicitudes HTTP especialmente diseñadas, dijo Fortinet.
Se produjo pocos días después de que la empresa lanzara un parche para dos problemas en sus productos FortiSIEM, CVE-2024-23108 y CVE-2024-23109, calificados como críticos con una puntuación CVSS de 9,7. La falla en FortiSIEM Supervisor podría permitir que un atacante remoto no autenticado ejecute comandos no autorizados a través de solicitudes API diseñadas, dijo Fortinet en un aviso.
cisco
Cisco ha enumerado múltiples vulnerabilidades en su serie Expressway que podrían permitir que un atacante remoto no autenticado realice ataques de falsificación de solicitudes entre sitios.
Seguidas como CVE-2024-20252 y CVE-2024-20254, dos vulnerabilidades en la API de los dispositivos de la serie Cisco Expressway recibieron una puntuación CVSS de 9,6. «Un atacante podría explotar estas vulnerabilidades persuadiendo a un usuario de la API para que siga un enlace diseñado», dijo Cisco. «Un exploit exitoso podría permitir al atacante realizar acciones arbitrarias con el nivel de privilegio del usuario afectado».
SAVIA
La empresa de software empresarial SAP ha lanzado 13 actualizaciones de seguridad como parte de su SAP Security Patch Day. CVE-2024-22131 es una vulnerabilidad de inyección de código en SAP ABA con una puntuación CVSS de 9,1.
CVE-2024-22126 es una vulnerabilidad de secuencias de comandos entre sitios en NetWeaver AS Java catalogada como de alto impacto, con una puntuación CVSS de 8,8. «Los parámetros de URL entrantes no están suficientemente validados y codificados incorrectamente antes de incluirlos en URL de redireccionamiento», dijo la firma de seguridad Onapsis. «Esto puede resultar en una vulnerabilidad de secuencias de comandos entre sitios, lo que genera un alto impacto en la confidencialidad y un impacto leve en la integridad y disponibilidad».