Foi identificada uma vulnerabilidade no pacote da Netmask que permite aos atacantes executarem um conjunto de ataques remotamente devido à validação inadequada dos octetos IPv4.
Caso o IPv4 seja mal validado, pode permitir que um endereço IP externo seja interpretado como um IP da rede local.[1][2][3]
A exploração bem sucedida desta vulnerabilidade, permite que um atacante remotamente e não autenticado possa realizar ataques de SSRF (Server-side request forgery), RFI (Remote file inclusion) e LFI (Local File inclusion).
Os utilizadores da versões afetadas devem atualizar as aplicações para a sua versão mais recente. [4]
Início Recursos Alertas de Segurança Alerta de Vulnerabilidades - Netmask NPM
TIPOVulnerabilidades
SISTEMAS AFETADOSNetmask v1.1.0 e anterior
ECOSSISTEMAOutro
[1] https://www.securityweek.com/vulnerability-netmask-npm-package-affects-280000-projects
[2] https://portswigger.net/daily-swig/ssrf-vulnerability-in-npm-package-netmask-impacts-up-to-279k-projects
[3] https://github.com/sickcodes/security/blob/master/advisories/SICK-2021-011.md
[4] https://www.npmjs.com/package/netmask
Outro, Windows
vSphere Replication versão anterior a 8.3.1.2, versão anterior a 8.2.1.1, versão anterior a 8.1.2.3 e versão anterior a 6.5.1.5
Foi divulgada uma vulnerabilidade de injeção de código pós-autenticação na página de "Configuração Inicial".
Um atacante que tenha acesso como administrador ao vSphere Replication pode executar comandos no sistema.[1]
Caso esta vulnerabilidade seja explorada com sucesso, permite ao atacante com acesso de administrador a execução de código remoto.[1]
- vSphere Replication 8.3.1.2 ou mais recente;
- vSphere Replication 8.2.1.1 ou mais recente;
- vSphere Replication 8.1.2.3 ou mais recente;
- vSphere Replication 6.5.1.5 ou mais recente.
[1] https://www.vmware.com/security/advisories/VMSA-2021-0001.html
Alerta de Vulnerabilidades - SonicWall
SMA100 build version 10.x (Physical e Virtual Appliances)
Foi descoberta uma vulnerabilidade que resulta numa sanitização incorreta de comandos SQL, que permite o acesso remoto ao equipamento por um utilizador não autenticado.[1]
Caso esta vulnerabilidade seja explorada com sucesso, permite ao atacante a execução de código remotamente.[2]
Os utilizadores devem fazer a atualização deste produto para a versão 10.2.0.5-29sv — disponível em [3].
É recomendado que sejam alteradas as credenciais de acesso de todos os utilizadores que possam ter acedido ao portal de autenticação e ativar o multi-fator de autenticação.
[1] https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001
[2] https://www.sonicwall.com/support/product-notification/urgent-patch-available-for-sma-100-series-10-x-firmware-zero-day-vulnerability-updated-feb-3-2-p-m-cst/210122173415410/
[3] www.mysonicwall.com
Alerta de Vulnerabilidades - Sudo
Versões Sudo 1.8.2 a 1.8.31p2 e 1.9.0 a 1.9.5p1
Foi descoberta uma vulnerabilidade no sudo que ao ser explorada com sucesso permite elevar os privilégios de utilizador para root, mesmo que o utilizador não esteja na lista dos sudoers. Esta vulnerabilidade apenas pode ser explorada por um utilizador local e não é necessário a autenticação do utilizador.
A vulnerabilidade verifica-se quando o comando sudo é executado com as opções de -s ou -i, devido a uma falha na remoção de caracteres de escape (barras invertidas) que em conjunto com uma falha na análise do código da linha de comando, permite que seja executado o sudoedit com as opções -s ou -i. Esta inconsistência na validação permite que quando as duas condições ocorram (falha na remoção de caracteres de escape e definição da flag de validação do modo shell ativo), a vulnerabilidade se torne explorável.[1][2]
Caso esta vulnerabilidade seja explorada com sucesso, permite ao atacante elevar os privilégios de utilizador para root.[1]
Atualizar sudo para a versão 1.9.5p2, onde este bug é corrigido.
Apache Tomcat 10.0.0-M1 a 10.0.0-M9; Apache Tomcat 9.0.0.M1 a 9.0.39; Apache Tomcat 8.5.0 a 8.5.59; Apache Tomcat 7.0.0 a 7.0.106
A Apache Software Foundation lançou uma atualização de segurança para resolver uma vulnerabilidade que afeta várias versões, onde ao ser utilizado através de uma rede que utilize o sistema de ficheiros NTFS é possível contornar as restrições de segurança e/ou ver o código fonte de páginas JSP em algumas configurações. O problema em alguns casos está associado ao comportamento inconsistente do Windows API (FindFirstFileW) causado pelo comportamento inesperado da API JRE File.getCanonicalPath().[1]
Quando esta vulnerabilidade é explorada com sucesso, o atacante pode ter acesso a informação sensível.
Os utilizadores das versões afetadas devem atualizá-las para a sua versão mais recente:[2]
- Apache Tomcat 10.0.0-M10 ou mais recente;
- Apache Tomcat 9.0.40 ou mais recente;
- Apache Tomcat 8.5.60 ou mais recente;
- Apache Tomcat 7.0.107 ou mais recente.
[1] https://cve.mitre.org/cgi-bin/cvename.cgi?name=2021-24122
Thunderbird 78.6.0 e anteriores
A Mozilla lançou uma atualização de segurança para resolver uma vulnerabilidade no Thunderbird afetando a versão 78.6.0 e anteriores.
Em geral, esta vulnerabilidade não pode ser explorada através de e-mail no Thunderbird porque o script é desativado ao ler correio, mas é um risco em contextos de browser ou semelhantes a browser.[2]
Quando explorada com sucesso, esta vulnerabilidade pode permitir ao atacante assumir o controlo de um sistema afetado e executar código arbitrário.[1][2]
Atualizar o Thunderbird para a sua versão mais recente.[3]
[1] https://us-cert.cisa.gov/ncas/current-activity/2021/01/12/mozilla-releases-security-update-thunderbird
[2] https://www.mozilla.org/en-US/security/advisories/mfsa2021-02/
[3] https://www.thunderbird.net/
Plataformas Drupal
A plataforma Drupal lançou uma atualização de segurança para corrigir uma vulnerabilidade associada à falta de sanitização no carregamento (upload) de ficheiros.
Quando explorada com sucesso, esta vulnerabilidade pode permitir ao atacante efetuar o upload de ficheiros (com dupla extensão) que posteriormente podem ser executados, permitindo ao atacante assumir o controlo do website.
Atualizar para as seguintes versões:
- Versão Drupal 9.0, atualizar para versão Drupal 9.0.8
- Versão Drupal 8.9, atualizar para versão Drupal 8.9.9
- Versão Drupal 8.8, atualizar para versão Drupal 8.8.11
- Versão Drupal 7, atualizar para versão Drupal 7.74
As versões Drupal anteriores a 8.8.8, são consideras em fim de vida e como tal não vão receber esta atualização.
Sugerímos também que seja efetuada uma auditoria aos ficheiros que foram carregados de forma a ser verificado se podem existir ficheiros/extensões maliciosas.
Pode ser consultada uma lista de extensões[1] susceptíveis de serem utilizadas nesta vulnerabilidade.
[1] https://www.drupal.org/sa-core-2020-012
[2] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13671
WordPress versões 5.5.1 e anteriores
WordPress lançou uma versão com atualizações de segurança e manutenção.
Esta versão conta com 10 correções de segurança e algumas correções de manutenção.
Na ausência das atualizações, existem vários cenários de ataque, como por exemplo[1]:
1. Um ataque de Negação de Serviço (DoS), pode permitir ao atacante executar código remotamente (RCE);
2. Um ataque de Cross-Site Scripting (XSS) permite a um atacante executar código remotamente (RCE);
3. Um erro associado aos comentários, permite ao atacante obter privilégios de sistema.
Pode fazer o download da versão 5.5.2 ou superior a partir do website do WordPress[2].
[1] https://wordpress.org/news/2020/10/wordpress-5-5-2-security-and-maintenance-release/
[2] https://wordpress.org/download/releases/
A Oracle lançou uma atualização cumulativa com 403 patches que visa resolver diversos problemas de segurança críticos em sistemas Oracle. As vulnerabilidades abordadas nesta atualização afetam o código Oracle e componentes de terceiros incluídos nos produtos Oracle.[1]
A maioria das vulnerabilidades são consideradas Críticas.
Na ausência das atualizações ou da aplicação das medidas de mitigação, o atacante pode ganhar controlo sobre o sistema afetado.
Efetuar as atualizações que já se encontram disponíveis ou, em caso de não ser possível efetuar as atualizações, aplicar as medidas de mitigação. [1]
[1] https://www.oracle.com/security-alerts/cpuoct2020.html
Cisco ASA, FMC e FTD
A Cisco lançou várias atualizações de segurança que visam resolver vulnerabilidades críticas presentes no software Cisco ASA, FMC e FTD.
Todas estas vulnerabilidades têm uma Classificação de Impacto de Segurança (Security Impact Rating - SIR) Alta.[1]
O impacto mais relevante é o facto dos atacantes poderem explorar as vulnerabilidades existentes e, assim, causar Negação de Serviço (DoS) nos sistemas afetados.
Aplicar as atualizações que a Cisco disponibiliza no seu website.[1]
[1] https://tools.cisco.com/security/center/viewErp.x?alertId=ERP-74302
Foi identificada uma vulnerabilidade identificada como "zerologon"[1] pois a mesma deriva da ocorrência de uma falha no processo de autenticação. Esta vulnerabilidade é explorada através do "Microsoft's Active Directory Netlogon Remote Protocol (MS-NRPC)", que normalmente é utilizado para a atualização de credenciais de acesso Windows.
Para explorar esta vulnerabilidade o atacante (não autenticado) utiliza o MS-NRPC para se ligar a equipamentos vulneráveis, incluindo controladores de domínio para obter o acesso como administrador (consultar "How the attack works" em [1]).
Quando explorado com sucesso o atacante consegue efetuar um escalamento de privilégios, obtendo acesso ilegítimo ao sistema permitindo, posteriormente, obter privilégios de administrador.
Caso não seja possível explorar com sucesso, o atacante pode causar um DoS ("Denial-of-Service").[1]
Rsolução
Aplicar as atualizações de segurança já disponíveis no website da Microsoft[2].
De salientar que a aplicação desta atualização pode fazer com que os equipamentos não funcionem como expectável, sendo que a Microsoft está a aplicar a correção em 2 (duas) etapas:
1ª etapa-> Atualização lançada em agosto de 2020[2]
2ª etapa-> Programado para 9 de fevereiro de 2021[3]
[1] https://www.trendmicro.com/en_us/what-is/zerologon.html
Sistemas Microsoft Windows DNS Server.
Foi encontrada uma vulnerabilidade grave durante o manuseamento incorretos de pedidos DNS.
Esta vulnerabilidade permite a um atacante, sem qualquer tipo de autenticação, executar comandos com altos privilégios.
Atualizar os sistemas afetados de acordo com as diretrizes da Microsoft em [1].
[1] - https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350
Aplicações SAP a correr no ambiente SAP NetWeaver AS Java da versão 7.3 até versão 7.5.
Foi encontrada uma vulnerabilidade devido à falta de validações durante o processo de autenticação.
Esta vulnerabilidade permite a um atacante, sem qualquer tipo de autenticação, executar tarefas de configuração e outras ações críticas no sistema SAP JAVA.
Atualizar os sistemas afetados através do SAP One Support Launchpad[1].
[1] - https://launchpad.support.sap.com/
[2] - https://us-cert.cisa.gov/ncas/alerts/aa20-195a
[3] - https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552599675
Alerta de Vulnerabilidades - PaloAlto PAN-OS
Sistema PAN-OS nas versões 9.1 até 9.1.2, 9.0 até 9.0.8, 8.1 até 8.1.14, 8.0.*, 7.1.*
Foi encontrada uma vulnerabilidade de injeção de código no portal PAN-OS GlobalProtect.
A vulnerabilidade encontrada permite a um atacante não autenticado na rede, executar comandos com privilégios de administrador.
Atualizar os sistemas afetados de acordo com as indicações da PaloAlto em [1].
[1] - https://security.paloaltonetworks.com/CVE-2020-2034
Sistemas Citrix ADC(NetScaler ADC), Citrix Gateway(NetScaler Gateway) e Citrix SD-WAN WANOP com os modelos 4000-WO, 4100-WO, 5000-WO, and 5100-WO.
Foram encontradas multiplas vulnerabilidades devido a validações incorretas de inputs dos utilizadores, no manuseamento do tráfego, entre outras.
Estas vulnerabilidades permitem a um atacante causar uma negação de serviço, injetar código arbitrário, entre outras ações maliciosas.
Atualizar os sistemas afetados de acordo com as indicações da CITRIX em [1].
[1] - https://support.citrix.com/article/CTX276688
Alerta de Vulnerabilidades - F5 BIG-IP TMUI
Sistema BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) nas seguintes versões 15.0.0 até 15.1.0, 14.1.0 até 14.1.2, 13.1.0 até 13.1.3, 12.1.0 até 12.1.5, 11.6.1 até 11.6.5
Foi encontrada uma vulnerabilidade em páginas da Interface de Utilizador da Gestão de Tráfego (Traffic Management User Interface (TMUI)), um utilitário de configuração.
A vulnerabilidade encontrada permite que um atacante, através de um pedido HTTP forjado, consiga executar código arbitrário.