La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de Estados Unidos añadió el jueves dos fallos de seguridad que afectan a los routers D-Link a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en pruebas de explotación activa.
La lista de vulnerabilidades es la siguiente:
- CVE-2014-100005 - Una vulnerabilidad de falsificación de solicitud de sitio cruzado (CSRF) que afecta a los routers D-Link DIR-600 y que permite a un atacante cambiar la configuración del router secuestrando una sesión de administrador existente.
- CVE-2021-40655 - Una vulnerabilidad de divulgación de información que afecta a los routers D-Link DIR-605 y que permite a los atacantes obtener un nombre de usuario y una contraseña falsificando una solicitud HTTP POST a la página /getcfg.php.
Actualmente no hay detalles sobre cómo se explotan estas deficiencias en la naturaleza, pero se ha instado a las agencias federales a aplicar las mitigaciones proporcionadas por los proveedores antes del 6 de junio de 2024.
Cabe señalar que CVE-2014-100005 afecta a productos D-Link antiguos que han llegado al final de su vida útil, por lo que las organizaciones que aún los utilizan deben retirarlos y sustituirlos.
El desarrollo se produce cuando el equipo de SSD Secure Disclosure reveló problemas de seguridad sin parches en los routers DIR-X4860 que podrían permitir a atacantes remotos no autenticados acceder al puerto HNAP para obtener permisos elevados y ejecutar comandos como root.
"Combinando un bypass de autenticación con la ejecución de comandos, el dispositivo puede verse completamente comprometido", afirma, añadiendo que los problemas afectan a los routers que ejecutan la versión de firmware DIRX4860A1_FWV1.04B03.
SSD Secure Disclosure también ha puesto a disposición un exploit de prueba de concepto (PoC), que emplea una solicitud de inicio de sesión HNAP especialmente diseñada para la interfaz de gestión del router para eludir las protecciones de autenticación y lograr la ejecución de código aprovechando una vulnerabilidad de inyección de comandos.
D-Link ha reconocido el problema en un boletín propio, indicando que la solución está "Pendiente de publicación / En desarrollo". Describió la vulnerabilidad como un caso de fallo de ejecución de comandos no autenticados del lado de la LAN.
Ivanti corrige múltiples fallos en Endpoint Manager Mobile (EPMM)
Los investigadores de ciberseguridad también han publicado un exploit PoC para una nueva vulnerabilidad en Ivanti EPMM (CVE-2024-22026, puntuación CVSS: 6,7) que podría permitir a un usuario local autenticado saltarse la restricción de shell y ejecutar comandos arbitrarios en el dispositivo.
"Esta vulnerabilidad permite a un atacante local obtener acceso root al sistema aprovechando el proceso de actualización de software con un paquete RPM malicioso desde una URL remota", explica Bryan Smith, de Redline Cyber Security.
El problema se deriva de un caso de validación inadecuada en el comando de instalación de la interfaz de línea de comandos de EPMM, que puede obtener un paquete RPM arbitrario de una URL proporcionada por el usuario sin verificar su autenticidad.
CVE-2024-22026 afecta a todas las versiones de EPMM anteriores a la 12.1.0.0. Ivanti también ha parcheado otros dos fallos de inyección SQL en el mismo producto (CVE-2023-46806 y CVE-2023-46807, puntuación CVSS: 6,7) que podrían permitir a un usuario autenticado con los privilegios adecuados acceder a los datos de la base de datos subyacente o modificarlos.
Aunque no hay pruebas de que estos fallos hayan sido explotados, se recomienda a los usuarios que actualicen a la última versión para mitigar posibles amenazas.
Fuente: thehackernews