SysAdmin 24x7

SigmaShooter (I): Preparando el SIEM Graylog https://www.securityartwork.es/2020/05/04/sigmashooter-i-preparando-el-siem-graylog/

Hackers Breach LineageOS, Ghost, DigiCert Servers Using SaltStack Vulnerability https://thehackernews.com/2020/05/saltstack-rce-exploit.html

SaltStack Patches Critical Vulnerabilities in Salt SaltStack has released a security update to address critical vulnerabilities affecting Salt versions prior to 2019.2.4 and 3000.2. Salt is an open-source remote task and configuration management framework widely used in data centers and cloud servers. A remote attacker could exploit these vulnerabilities to take control of an affected system. The Cybersecurity and Infrastructure Security Agency (CISA) encourages users and administrators to review SaltStack’s Release Notes for Salt 2019.2.4 and Salt 3000.2, see Tips on Hardening Salt, and apply the necessary update as soon as possible. https://www.us-cert.gov/ncas/current-activity/2020/05/01/saltstack-patches-critical-vulnerabilities-salt

Oracle warns of attacks against recently patched WebLogic security bug Oracle patched the bug last month but attacks began after proof-of-concept code was published on GitHub. https://www.zdnet.com/article/oracle-warns-of-attacks-against-recently-patched-weblogic-security-bug/

RDP Brute-force Attacks on Rise Since Organizations Worldwide Introduced Remote Working https://gbhackers.com/rdp-brute-force-attacks/

Inyección de comandos en IOS XE SD-WAN de Cisco Fecha de publicación: 30/04/2020 Importancia: Alta Recursos afectados Los siguientes dispositivos de Cisco que ejecutan el software IOS XE SD-WAN: 1000 Series Aggregation Services Routers, 1000 Series Integrated Services Routers (ISRs), 4000 Series ISRs, Cloud Services Router 1000V Series. Descripción Los investigadores Julien Legras y Thomas Etrillard, de Synacktiv, han detectado una vulnerabilidad de criticidad alta que afecta a varios dispositivos de Cisco. Un atacante local, autenticado, inyectar comandos con privilegios de root. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/inyeccion-comandos-ios-xe-sd-wan-cisco

Actualización de seguridad 5.4.1 para WordPress Fecha de publicación: 30/04/2020 Importancia: 4 - Alta Recursos afectados: WordPress, versiones 5.4 y anteriores. Descripción: Se ha publicado la última versión de WordPress, que corrige 7 problemas de seguridad. Solución: Actualizar a la versión 5.4.1, Todas las versiones de WordPress, desde la 3.7 también tienen disponible la actualización. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-541-wordpress

Múltiples vulnerabilidades en productos F5 Fecha de publicación: 30/04/2020 Importancia: Alta Recursos afectados BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM), versiones: desde 11.6.1 hasta 11.6.5; desde 12.1.0 hasta 12.1.5; desde 13.1.0 hasta 13.1.3; desde 14.0.0 hasta 14.1.2; desde 15.0.0 hasta 15.0.1, y 15.1.0. BIG-IQ Centralized Management, versiones: desde 5.3.0 hasta 5.4.0; desde 6.0.0 hasta 6.1.0; desde 7.0.0 hasta 7.1.0. Descripción Se han identificado 8 vulnerabilidades, todas de severidad alta, en varios productos de F5, de tipo: uso de cifrados en servidores de backend, fallo en la aceleración criptográfica de hardware, envío de solicitud maliciosa por scp (secure copy), envío de solicitudes específicamente diseñadas a un servidor virtual, generar un archivo de núcleo y reiniciar TMM (Traffic Management Microkernel), intentos de conexión sin cifrar a un nuevo peer de sincronización, datos de entrada malformados y procesamiento de tráfico IP inusual. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/multiples-vulnerabilidades-productos-f5-7

Vulnerabilidades en Samba Fecha de publicación: 29/04/2020 Importancia: 4 - Alta Recursos afectados:  Todas las versiones de Samba, desde la versión 4.0.0 en adelante; Todas las versiones de Samba, desde la versión 4.10.0 en adelante. Descripción:  Andrew Barlett de Catalyst, y Andrei Popa, han detectado dos vulnerabilidades, una de criticidad alta y otra media, que afectan a múltiples versiones de Samba. Un atacante remoto, no autenticado, podría utilizar memoria previamente liberada (use-after-free) u ocasionar un SIGSEGV en el servidor. Solución:  Actualizar a las versiones 4.10.15, 4.11.8 o 4.12.2. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/vulnerabilidades-samba-0

Vulnerabilidad de XSS en VMware ESXi Fecha de publicación: 29/04/2020 Importancia: 4 - Alta Recursos afectados:  VMware ESXi, versiones 6.5 y 6.7. Descripción:  Benny Husted y DAWUSHI han reportado una vulnerabilidad, de severidad alta, de tipo Cross-Site Scripting (XSS) persistente, en varias versiones de VMware ESXi. Solución:  VMware ESXi 6.5, actualizar a la versión ESXi650-201912104-SG; VMware ESXi 6.7, actualizar a la versión ESXi670-202004103-SG. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/vulnerabilidad-xss-vmware-esxi

VMware Releases Security Updates for ESXi https://www.us-cert.gov/ncas/current-activity/2020/04/29/vmware-releases-security-updates-esxi

Adobe Releases Security Updates for Multiple Products https://www.us-cert.gov/ncas/current-activity/2020/04/29/adobe-releases-security-updates-multiple-products

Alert (AA20-120A) Microsoft Office 365 Security Recommendations https://www.us-cert.gov/ncas/alerts/aa20-120a

Control de acceso inapropiado en productos de Fortinet Fecha de publicación: 28/04/2020 Importancia: 5 - Crítica Recursos afectados: FortiMail, versiones: 5.4.10 y anteriores; 6.0.7 y anteriores; 6.2.2 y anteriores. FortiVoiceEnterprise, versiones: 6.0.1 y anteriores; las versiones 5.3 y anteriores, no se ven afectadas por esta vulnerabilidad. Descripción: El investigador Mike Connor ha detectado una vulnerabilidad, de severidad crítica, del tipo control de acceso inapropiado, que afecta a varios productos de Fortinet. Un atacante remoto, no autenticado, podría evadir la autenticación. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/control-acceso-inapropiado-productos-fortinet

Acceso no controlado a rutas en Juno OS de Juniper Fecha de publicación: 28/04/2020 Importancia: 4 - Alta Recursos afectados: Junos OS, versiones 12.3, 12.3X48, 14.1X53, 15.1, 15.1X49, 17.1, 17.2, 17.3, 17.4, 18.1, 18.2, 18.3, 18.4, 19.1, 19.2, 19.3, 19.4 y 20.1. Descripción: Una vulnerabilidad en el servicio HTTP/HTTPS, de severidad alta, utilizado por varios productos de Juniper, permite que un atacante no autenticado realice una inclusión local de archivos (LFI, Local File Inclusion) o el acceso no controlado a rutas. https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/acceso-no-controlado-rutas-juno-os-juniper

Threat Research Putting the Model to Work: Enabling Defenders With Vulnerability Intelligence — Intelligence for Vulnerability Management, Part Four https://www.fireeye.com/blog/threat-research/2020/04/enabling-defenders-with-vulnerability-intelligence.html

Informe sobre el inicio de sesión no autorizado a "Nintendo Network ID" y solicite el uso seguro de la "Cuenta Nintendo" https://www.nintendo.co.jp/support/information/2020/0424.html

2020-04 Out of Cycle Security Advisory: Junos OS: Security vulnerability in J-Web and web based (HTTP/HTTPS) services Article ID: JSA11021 SECURITY_ADVISORIES Last Updated: 27 Apr 2020 Version: 3.0 PRODUCT AFFECTED: This issue affects Junos OS 12.3, 12.3X48, 14.1X53, 15.1, 15.1X49, 17.1, 17.2, 17.3, 17.4, 18.1, 18.2, 18.3, 18.4, 19.1, 19.2, 19.3, 19.4, 20.1. PROBLEM: A vulnerability in the HTTP/HTTPS service used by J-Web, Web Authentication, Dynamic-VPN (DVPN), Firewall Authentication Pass-Through with Web-Redirect, and Zero Touch Provisioning (ZTP) allows an unauthenticated attacker to perform local file inclusion (LFI) or path traversal. https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11021&actp=RSS