SolarWinds ha publicado parches para solucionar una vulnerabilidad de seguridad crítica en su software Web Help Desk que podría ser explotada para ejecutar código arbitrario en instancias susceptibles.
El fallo, rastreado como CVE-2024-28986 (puntuación CVSS: 9,8), se ha descrito como un error de deserialización.
"Se ha descubierto que SolarWinds Web Help Desk es susceptible a una vulnerabilidad de ejecución remota de código de deserialización de Java que, si se explota, permitiría a un atacante ejecutar comandos en la máquina host", dijo la compañía en un aviso.
"Aunque se informó como una vulnerabilidad no autenticada, SolarWinds no ha podido reproducirla sin autenticación después de pruebas exhaustivas".
El fallo afecta a todas las versiones de SolarWinds Web Help Desk, incluida la 12.8.3 y anteriores. Se ha solucionado en la versión 12.8.3 HF 1.
La revelación se produce mientras Palo Alto Networks corrige una vulnerabilidad de alta gravedad que afecta a Cortex XSOAR y que podría dar lugar a la inyección de comandos y la ejecución de código.
Asignado el identificador CVE-2024-5914 (puntuación CVSS: 7,0), el fallo afecta a todas las versiones de Cortex XSOAR CommonScripts anteriores a la 1.12.33.
"Un problema de inyección de comandos en Palo Alto Networks Cortex XSOAR CommonScripts Pack permite a un atacante no autenticado ejecutar comandos arbitrarios dentro del contexto de un contenedor de integración", dijo la compañía.
"Para estar expuesta, una integración debe hacer uso de los scripts ScheduleGenericPolling o GenericPollingScheduledTask del paquete CommonScripts".
Palo Alto Networks también aborda dos problemas de gravedad moderada que se enumeran a continuación.
- CVE-2024-5915 (puntuación CVSS: 5,2) - Una vulnerabilidad de escalada de privilegios (PE) en la aplicación GlobalProtect en dispositivos Windows que permite a un usuario local ejecutar programas con privilegios elevados.
- CVE-2024-5916 (puntuación CVSS: 6,0): vulnerabilidad de exposición de información en el software PAN-OS que permite a un administrador local del sistema acceder a secretos, contraseñas y tokens de sistemas externos.
Se recomienda a los usuarios que actualicen a la última versión para mitigar los posibles riesgos. Como medida de precaución, también se aconseja revocar los secretos, contraseñas y tokens configurados en los cortafuegos PAN-OS tras la actualización.
Actualización
La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de EE.UU. ha añadido el fallo CVE-2024-28986 de SolarWinds a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en pruebas de explotación activa. Las agencias federales deben aplicar las correcciones antes del 5 de septiembre de 2024.
Fuente: thehackernews