Vulnerabilidad crítica en Magento y Adobe Commerce.

CVE-2022-24086 CVSSv3 9.8

Las versiones 2.4.3-p1 (y anteriores) y 2.3.7-p2 (y anteriores) de Adobe Commerce están afectadas por una vulnerabilidad de Día Cero de validación de entrada incorrecta durante el proceso de pago. La explotación de este problema no requiere la interacción del usuario y podría resultar en la ejecución de código arbitrario.

Recursos afectados: Este fallo afecta a las versiones de Magento Open Source y Adobe Commerce 2.4.3-p1 y 2.3.7-p2 y anteriores, a excepción de las versiones previas a la 2.3.3 de Adobe Commerce.

Recomendaciones: actualizar a la última versión inmediatamente. El parche está disponible para descargar aquí: https://www.zerodayinitiative.com/advisories/ZDI-22-081/

Vulnerabilidad de Día Cero en Microsoft Edge (Chromium-based)

CVE-2022-0609 (primer día cero de Chrome de 2022)

Google ha publicado correcciones para ocho fallos de seguridad en el navegador Google Chrome, incluida una vulnerabilidad de criticidad alta que estaría siendo explotada activamente. Esta vulnerabilidad del tipo use-after-free reside en el componente de animación y, en caso de ser explotada con éxito, permitiría a un atacante ejecutar código arbitrario de manera remota, así como alterar información legítima.

Esta vulnerabilidad afecta a todos los usuarios de Chrome, independientemente del sistema operativo que se esté ejecutando. 

Recursos afectados: Afectan al gestor de archivos, ANGLE, GPU y Webstore API, así como una vulnerabilidad del tipo heap buffer overflow en Tab Groups y una implementación inapropiada en Gamepad API.

Recomendaciones: actualizar a la última versión inmediatamente. El parche está disponible para descargar aquí:https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop_14.html

Campaña de TA2541.

Campaña de ataques del grupo TA2541

Utilizan TTPs (Terrorist Tactics, Techniques, and Procedures). Su vector de entrada habitual identificado son campañas de phishing en inglés que emplean temáticas relacionadas con la aviación, el transporte o los viajes. En estos correos se incluyen adjuntos que descargan ya los payloads de distintos RATS, fundamentalmente familias que se pueden adquirir de forma sencilla en foros de cibercrimen, destacando por encima del resto AsyncRAT, NetWire y WSH RAT.

Recursos afectados: Tienen como objetivo sectores como la aviación, el aeroespacial, transporte, manufactura y defensa, en las regiones de Norteamérica, Europa y Oriente Medio. La actividad de este grupo se remontaría a 2017

Recomendaciones: Tener prevención con sus servicios. Para más información https://www.proofpoint.com/us/blog/threat-insight/charting-ta2541s-flight

Vulnerabilidad de día cero en Apple.

CVE-2022-22620

Esta vulnerabilidad pertenece a la clase Use-After-Free (UAF), por lo tanto, está relacionada con el uso incorrecto de la memoria dinámica en las aplicaciones. Su explotación permite al atacante crear contenido web malicioso, cuyo procesamiento puede dar lugar a la ejecución de código arbitrario en el dispositivo de la víctima.

Recursos afectados: macOS, iOS y Linux. En particular, todos los navegadores de iOS y iPadOS se basan en este motor de código abierto, es decir, no solo el Safari predeterminado de iPhone, sino también Google Chrome, Mozilla Firefox y cualquier otro.

Recomendaciones:

Se recomienda a los usuarios actualizar sus productos a las últimas versiones de inmediato:

• iOS 15.3.1 y iPadOS 15.3.1: para iPhone 6s y posteriores, iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad de 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
• macOS Monterey 12.2.1: para macOS Monterey

También se recomienda a los usuarios que habiliten las actualizaciones automáticas de software yendo a Configuración > General > Actualizaciones de software > Habilitar actualizaciones automáticas.

Hay más información disponible aquí:
https://support.apple.com/en-us/HT213093
https://support.apple.com/en-us/HT213092

Vulnerabilidad crítica en SAP Internet Communication Manager (ICM).

CVE-2022-22536

Esta vulnerabilidad afecta a las aplicaciones de SAP que utilizan SAP Internet Communication Manager (ICM). 

La explotación exitosa de la vulnerabilidad podría permitir que un atacante no autenticado use paquetes con formato incorrecto que engañen a los servidores SAP para que expongan datos confidenciales.

Recursos afectados:

• SAP Content Server versión 7.53;
• SAP NetWeaver y ABAP Platform versiones KERNEL 7.22, 8.04, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, KRNL64UC 8.04, 7.22, 7.22EXT, 7.49, 7.53, KRNL64NUC 7.22, 7.42EXT, 7.22 y
• SAP Web Dispatcher versiones 7.49, 7.53, 7.77, 7.81, 7.85, 7.22EXT, 7.86, 7.87

Recomendaciones: Se recomienda a los administradores de los productos afectados que instalen las actualizaciones de seguridad más recientes de inmediato. Hay más información disponible aquí: https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+February+2022

Vulnerabilidad Crítica en DELL para Microsoft Azure

CVE-2021-36302

Todas las versiones de Dell EMC Integrated System para Microsoft Azure Stack Hub contienen una vulnerabilidad de escalada de privilegios. Un usuario malicioso remoto con credenciales de JEA de nivel estándar puede explotar potencialmente esta vulnerabilidad para elevar los privilegios y hacerse cargo del sistema.

Recursos afectados: Dell EMC Integrated System for Microsoft Azure Stack Hub, Dell EMC 2018 and earlier

Recomendaciones: Tener prevención con sus servicios. Para más información https://www.dell.com/support/kbdoc/es-co/000191165/dsa-2021-178-dell-emc-integrated-solution-for-microsoft-azure-stack-hub-security-update-for-a-just-enough-administration-jea-vulnerability