Vulnerabilidad crítica en Plesk

Se ha descubierto una vulnerabilidad de severidad crítica en Plesk. El fallo permitiría a un atacante inyectar, en páginas web, código JavaScript o en otro lenguaje similar. Un propietario de suscripción malicioso podría comprometer completamente el servidor si un administrador visita una página en Plesk relacionada con la suscripción maliciosa.

Recursos afectados:

Versiones de Plesk comprendidas entre la versión 17.0 y la 18.0.31

Solución:

La vulnerabilidad no afecta a las últimas versiones con soporte de Plesk, por lo que se recomienda actualizar a la última versión.

Vulnerabilidades en Microsoft

Se han detectado un centenar de vulnerabilidades en Microsoft. De ellas, 9 son de severidad crítica y 71 de severidad importante. Los fallos podrían producir problemas de denegación de servicio, escalada de privilegios, divulgación de información, ejecución remota de código, omisión de características de seguridad, suplantación de identidad (spoofing) y manipulación de parámetros de entrada para alterar credenciales y/o permisos (tampering).

Recursos afectados:

• .NET and Visual Studio
• .NET Framework
• 3D Builder
• Azure App Service
• Azure Data Box Gateway
• Azure DevOps
• Azure Machine Learning
• HoloLens
• Internet Storage Name Service
• Microsoft Defender para Endpoint
• Microsoft Defender para IoT
• Microsoft Dynamics
• Microsoft Edge (basado en Chromium)
• Microsoft Exchange Server
• Microsoft Graphics Component
• Microsoft Office
• Microsoft Office OneNote
• Microsoft Office Publisher
• Microsoft Office SharePoint
• Microsoft Office Word
• Microsoft PostScript Printer Driver
• Microsoft WDAC OLE DB provider para SQL
• Microsoft Windows Codecs Library
• Power BI
• SQL Server
• Visual Studio
• Windows Active Directory
• Windows ALPC
• Windows Common Log File System Driver
• Windows Cryptographic Services
• Windows Distributed File System (DFS)
• Windows Fax y Scan Service
• Windows HTTP.sys
• Windows Installer
• Windows iSCSI
• Windows Kerberos
• Windows MSHTML Platform
• Windows ODBC Driver
• Windows Protected EAP (PEAP)
• Windows Schannel
• Windows Win32K

Solución:

Se recomienda actualizar lo antes posible el software afectado a la última versión y activar las actualizaciones automáticas en caso de que no se estén aplicando por defecto.

Vulnerabilidades en sistemas de Apple

Apple ha identificado y corregido varias vulnerabilidades que afectan a sus sistemas. Estos fallos permitirían a un atacante la ejecución de código arbitrario con privilegios de Kernel o el procesamiento de contenido web malicioso para ejecutar también código arbitrario. Una de las vulnerabilidades afecta al componente WebKit y está siendo explotada activamente.

Recursos afectados:

• macOS Monterrey anterior a la versión 13.2.1
• iOS anterior a la versión 16.3.1
• iPadOS anterior a la versión 16.3.1
• Safari anterior a la versión 16.3.1

Solución:

Se recomienda actualizar los sistemas operativos a las siguientes versiones:

• macOS Monterrey a la versión 13.2.1
• iOS a la versión 16.3.1
• iPadOS a la versión 16.3.1
• Safari a la versión 16.3.1

Campaña de explotación de vulnerabilidades de VMware

El CCN-CERT ha alertado de una campaña de explotación de vulnerabilidades que tiene como objetivo servidores VMware ESXi. Estos ataques aprovechan una vulnerabilidad descubierta el año 2021.

Según los investigadores, podría haber unos 3200 servidores comprometidos, pertenecientes a organizaciones de todo el mundo, aunque afecta especialmente a Italia, Francia, Finlandia, Estados Unidos y Canadá.

Recursos afectados:

• Versiones de VMware ESXi 7.x anteriores a ESXi70U1c-17325551
• Versiones de ESXi 6.7x anteriores a ESXi670-20212401-SG
• Versiones de ESXi 6.5.x anteriores a ESXi650-202102101-SG

Solución:

VMware ha publicado el parche correspondiente para corregir la vulnerabilidad. Se trata de una vulnerabilidad para la cual existe una solución desde febrero de 2021. Por lo tanto, si no se ha hecho con anterioridad, se recomienda aplicar el parche correspondiente lo antes posible.

• VMware ESXi 7.x: versión parcheada 7.0 U1c.
• VMware ESXi 6.7.x: versión parcheada 6.7 U3l.
• VMware ESXi 6.5.x: versión parcheada 6.5 U3n.

Vulnerabilidad crítica en dispositivos QNAP

QNAP ha detectado una vulnerabilidad crítica que podría permitir a un atacante inyectar código malicioso.

Recursos afectados:

Dispositivos QNAP con versiones:

• QTS 5.0.1;
• QuTS hero h5.0.1.

*QTS 5.0.0, QTS 4.xx, QuTS hero 5.0.0 y QuTS hero 4.5.x no se ven afectados.

Solución:

QNAP ha solucionado la vulnerabilidad en las siguientes versiones del sistema operativo:

• QTS 5.0.1.2234 compilación 20221201 y posteriores;
• QuTS hero h5.0.1.2248 compilación 20221215 y posteriores.

Se recomienda actualizar los dispositivos lo antes posible

by