Boletín semanal ciberseguridad 5 – 11 de marzo

Mozilla parchea dos vulnerabilidades 0-day

Mozilla ha emitido un aviso de seguridad donde corrige dos vulnerabilidades 0-day que estarían siendo activamente explotadas y que afectan a Firefox, Focus y Thunderbird. Ambas vulnerabilidades fueron reportadas por el equipo de seguridad de la compañía 360 ATA.  La primera de ellas, clasificada como CVE-2022-26485, se trata de una vulnerabilidad de use-after-free en el procesamiento de parámetros XSLT, el cual permite la conversión de documentos. La segunda ha sido clasificada como CVE-2022-26486, y se trata de una vulnerabilidad de use-after-free en el framework WebGPU IPC. En caso de ser aprovechadas, un agente amenaza podría ejecutar código de forma remota, evadiendo la seguridad, pudiendo incluso comprometer el dispositivo mediante la descarga de algún código malicioso. Ambas vulnerabilidades quedan solucionadas en las versiones Firefox 97.0.2, Firefox ESR 91.6.1, Firefox para Android 97.3.0 y Focus 97.3.0. Desde Mozilla recomiendan actualizar a la mayor brevedad posible.

Descubre más información: https://www.mozilla.org/en-US/security/advisories/mfsa2022-09/#CVE-2022-26485

Dirty Pipe: nueva vulnerabilidad en el kernel de Linux

El investigador de seguridad Max Kellermann ha publicado los detalles de una nueva vulnerabilidad en el kernel de Linux desde su versión 5.8 que permitiría a usuarios locales obtener privilegios de root a través de exploits que ya se encuentran disponibles de forma pública. Identificada con el CVE-2022-0847 y con un CVSSv3 de 7.8, el error permitiría a un usuario local sin privilegios inyectar y sobrescribir datos aleatorios en archivos de solo lectura, incluidos los procesos SUID que se ejecutan como root, conduciendo a una escalada de privilegios en el sistema afectado e incluso posibilitando la manipulación de archivos confidenciales como los localizados en la ruta /etc/passwd, que permitiría eliminar la contraseña del usuario root. En su publicación, el investigador comparte una prueba de concepto (PoC) y señala la similitud de esta vulnerabilidad con “Dirty Cow” (CVE-2016-5195), que salió a la luz en octubre de 2016, aunque en esta ocasión su explotación sería menos compleja y grupos como Anonymous ya se han pronunciado sobre ella. La vulnerabilidad ya ha sido corregida en las versiones Linux 5.16.11, 5.15.25 y 5.10.102, por lo que se recomienda parchear cuanto antes dado el impacto que provocaría una explotación exitosa de este error.

Todos los detalles: https://dirtypipe.cm4all.com/

Boletín de actualizaciones de ​Microsoft

Microsoft ha publicado su boletín de seguridad correspondiente al mes de marzo en el que se informa de la corrección de un total de 74 fallos, incluyendo tres vulnerabilidades críticas según la firma y tres 0-days que no estarían siendo activamente explotados.

• Vulnerabilidades críticas según Microsoft: El fallo más crítico de los tres (CVE-2022-23277 CVSSv3 8.8) afecta a Microsoft Exchange Server y permite a un atacante autenticado dirigirse contra cuentas de servidor con el objetivo de ejecutar código remoto con privilegios de ADMIN, debido a un fallo en la gestión de memoria por parte del servidor. Los otros dos fallos categorizados también como críticos por Microsoft, CVE-2022-22006 y CVE-2022-24501, ambos con CVSSv3 7.8, afectan a las extensiones de video HEVC y VP9 pero su explotación requiere de ingeniería social puesto que se necesita que la víctima descargue y abra un archivo especialmente modificado.
• 0-days: El fallo de este tipo más grave CVE-2022-21990 CVSSv3 8.8, permite ejecución remota de código en RDP. Algunos investigadores apuntan a que este fallo debería considerarse como crítico y destacan que, aunque no está siendo activamente explotado aún, lo puede ser pronto puesto que ya existe una prueba de concepto disponible. Los otros dos 0-day corregidos son los identificados como CVE-2022-23285 CVSSv3 8.8 y CVE-2022-24503 CVSSv3 5.4.

Más: https://msrc.microsoft.com/update-guide/releaseNote/2022-Mar

Vulnerabilidades de firmware de UEFI

HP, en conjunto con el equipo de Binarly, han descubierto múltiples vulnerabilidades de alto impacto relacionadas con el firmware de UEFI, que estarían afectando a diferentes productos  de HP como portátiles y ordenadores de sobremesa, o nodos perimetrales y sistemas de puntos de venta (PoS). Estas han sido clasificadas como CVE-2021-39298 con CVSSv3 8.8, CVE-2021-39297, CVE-2021-39299, CVE-2021-39300 y CVE-2021-39301, todas ellas con CVSSv3 de 7.5. De ser explotadas, un agente amenaza podría inyectar código malicioso, escalar privilegios, así como permanecer en los dispositivos tras las actualizaciones del sistema operativo. Desde HP han proporcionado actualizaciones de firmware y han facilitado instrucciones para actualizar la BIOS.

Toda la información: https://support.hp.com/us-en/document/ish_5661066-5661090-16

Análisis del resurgimiento de Emotet

Investigadores de Black Lotus Labs han publicado un análisis sobre las evidencias del resurgimiento de la botnet Emotet desde noviembre de 2021. Los investigadores indican que, desde entonces, la botnet ha mostrado un fuerte incremento en su actividad a través de aproximadamente 130.000 bots únicos distribuidos por 179 países, acumulando más de 1,6 millones de dispositivos infectados. El malware resurgió utilizando Trickbot como método de entrega, y a pesar de que la estructura de su Command&Control (C2) habría sido restablecida en noviembre, la adición de bots no fue pronunciada hasta enero. Los detalles técnicos del informe revelan que Emotet ha efectuado destacables cambios en su funcionamiento, tales como el algoritmo utilizado para cifrar el tráfico de red, el cual ahora se basa en criptografía elíptica (ECC); o el cambio de modelo de niveles, marcado por la ausencia de Bot C2, aunque se desconoce si se trata de un cambio eventual o permanente. Debido a que la distribución de Emotet se realiza a través de correos electrónicos comprometidos con adjuntos maliciosos, los investigadores recomiendan intensificar las medidas preventivas contra el phishing y la monitorización de recursos de red para prevenir posibles incidentes derivados.

Más info: https://blog.lumen.com/emotet-redux/