Entre las vulnerabilidades más relevantes destacan la falla de omisión de autenticación en GitHub Enterprise Server (CVE-2024-6800) que permite a atacantes obtener privilegios de administrador, así como una vulnerabilidad de desbordamiento de pila en FFmpeg (CVE-2024-7272) que podría resultar en la ejecución de código arbitrario. También se ha reportado una vulnerabilidad de ejecución remota de código en Atlassian Bamboo (CVE-2024-21689), que afecta a procesos de desarrollo automatizados en entornos empresariales, entre otras.
GitHub Enterprise Server vulnerable a falla crítica de omisión de autenticación
Se ha detectado una vulnerabilidad crítica en GitHub Enterprise Server (GHES), identificada como CVE-2024-6800, la que podría permitir a atacantes eludir la autenticación y obtener privilegios de administrador en las máquinas afectadas. Este problema, con una severidad de 9.5 según el estándar CVSS 4.0, se debe a una falla en la envoltura de firmas XML al utilizar el estándar de autenticación SAML con ciertos proveedores de identidad. Esta vulnerabilidad afecta a versiones específicas de GHES que utilizan SSO (Inicio de sesión único) SAML con metadatos de federación firmados y expuestos públicamente, permitiendo a los atacantes forjar respuestas SAML y acceder a cuentas con privilegios de administrador.
GitHub ha lanzado actualizaciones que corrigen esta vulnerabilidad en las versiones 3.13.3, 3.12.8, 3.11.14 y 3.10.16 de GHES, y también han abordado otras dos vulnerabilidades de severidad media. Aunque GitHub ha advertido sobre posibles errores en los servicios durante la configuración posterior a la actualización, estas instancias deberían iniciar correctamente
Múltiples soluciones para OpenJDK 8 en versiones de Ubuntu
Canonical ha lanzado actualizaciones de seguridad para múltiples versiones de OpenJDK en respuesta a varias vulnerabilidades críticas identificadas. Estas fallas incluyen problemas como desbordamiento de búfer, bucles infinitos, manejo incorrecto de la memoria y validación inadecuada de encabezados, lo que podría permitir a un atacante ejecutar código arbitrario, provocar denegación de servicio, o evadir las restricciones de la zona protegida de Java. Las versiones de Ubuntu afectadas incluyen Ubuntu 24.04 LTS, 22.04 LTS, 20.04 LTS y 18.04 ESM, con parches disponibles para todas ellas.
Para los sistemas que ejecutan Ubuntu 18.04, Canonical ofrece correcciones de seguridad a través de su Mantenimiento de Seguridad Extendido (ESM) con una suscripción a Ubuntu Pro. Alternativamente, TuxCare proporciona un soporte de ciclo de vida extendido (ELS) para Ubuntu 18.04, ofreciendo hasta cinco años adicionales de parches de seguridad para más de 140 paquetes críticos, lo que permite a las organizaciones mantener la seguridad de sus sistemas mientras planifican una migración segura.
Solucionan vulnerabilidad crítica de RCE en complemento GiveWP
El complemento GiveWP, ampliamente utilizado para donaciones y recaudación de fondos en WordPress, fue recientemente actualizado para corregir una grave vulnerabilidad identificada como CVE-2024-5932. Esta falla, descubierta por el investigador villu164, es una vulnerabilidad de inyección de objetos PHP que permite la ejecución remota de código (RCE). Si se explota, esta vulnerabilidad podría permitir a atacantes no autorizados ejecutar código arbitrario y eliminar archivos en los sitios afectados, lo que representa un riesgo crítico para la seguridad del sitio y la integridad de los datos. Se recomienda encarecidamente a los usuarios de GiveWP actualizar inmediatamente a la versión 3.14.2 para mitigar este riesgo.
La vulnerabilidad afecta a todas las versiones de GiveWP hasta la 3.14.1 y se origina en la deserialización insegura del parámetro give_title, lo que permite la inyección de objetos PHP maliciosos. Tras el reporte inicial, Wordfence intentó contactar con los desarrolladores de GiveWP, StellarWP, y ante la falta de respuesta, escaló el asunto al equipo de seguridad de WordPress.org. Finalmente, el parche fue lanzado el 7 de agosto de 2024. Esta vulnerabilidad, que obtuvo una puntuación CVSS de 10.0, lo que subraya la importancia de mantener los complementos actualizados para proteger los sitios web de WordPress contra ataques graves.
Descubren vulnerabilidad crítica de desbordamiento de pila en FFmpeg
Recientemente se descubrió una vulnerabilidad crítica identificada como CVE-2024-7272, en FFmpeg, el marco multimedia líder mundial utilizado para decodificar, codificar y transmitir casi cualquier formato. Esta vulnerabilidad, que afecta a las versiones de FFmpeg hasta la 5.1.5, se debe a un desbordamiento de búfer basado en el heap en la función fill_audiodata del archivo swresample.c. La falla, con una puntuación CVSS de 8.8, podría permitir a los atacantes ejecutar código arbitrario o causar una denegación de servicio (DoS) al escribir datos más allá del espacio de memoria asignado.
El riesgo asociado a esta vulnerabilidad es considerable, especialmente debido a su potencial de explotación remota. Un exploit publicado por el investigador de seguridad CookedMelon en GitHub demuestra un proof-of-concept (PoC) que permite a atacantes locales tomar el control de sistemas vulnerables. Dada la amplia adopción de FFmpeg en plataformas como Linux, macOS, Windows, y más, se insta a los usuarios a actualizar sus instalaciones de inmediato para mitigar los riesgos.
Vulnerabilidad de RCE en el centro de datos y servidor Atlassian Bamboo
Atlassian ha emitido un aviso de seguridad para sus productos Bamboo Data Center y Server debido a una vulnerabilidad crítica de ejecución remota de código (RCE) identificada como CVE-2024-21689, que afecta a las versiones 9.1.0 a 9.6.0 del software. Esta falla permite que un atacante autenticado ejecute código arbitrario en el entorno de Bamboo, lo que podría comprometer gravemente la confidencialidad, integridad y disponibilidad de los sistemas afectados, especialmente en organizaciones que dependen de Bamboo para la automatización de procesos de desarrollo de software.
Para mitigar los riesgos asociados con esta vulnerabilidad, Atlassian ha lanzado actualizaciones y recomienda a los usuarios actualizar sus instancias de Bamboo a las versiones corregidas, como la 9.2.17 o 9.6.5. Es crucial que los administradores prioricen estas actualizaciones, ya que no hacerlo podría dejar a las organizaciones vulnerables a ataques que podrían resultar en violaciones de datos, interrupciones del servicio y explotación por actores maliciosos.
Falla de seguridad de Spring deja aplicaciones expuestas a accesos no autorizados
Se ha identificado una vulnerabilidad crítica (CVE-2024-38810) en Spring Security, que afecta a las versiones 6.3.0 y 6.3.1. Esta falla permite el acceso no autorizado a datos confidenciales dentro de las aplicaciones afectadas, debido a la incorrecta aplicación de las anotaciones de seguridad (@PreAuthorize, @PostAuthorize, @PreFilter y @PostFilter) cuando los objetos se encapsulan utilizando @AuthorizeReturnObject o AuthorizationAdvisorProxyFactory. Como resultado, las restricciones de seguridad esperadas pueden no implementarse adecuadamente, exponiendo la aplicación a riesgos significativos.
La vulnerabilidad solo afecta a aplicaciones que utilizan ciertas configuraciones específicas, como AnnotationAwareAspectJAutoProxyCreator para la creación automática de proxy y la habilitación de la seguridad del método con @EnableMethodSecurity. Spring Security ha lanzado la versión 6.3.2 que corrige este problema.