20230922 - Apple posa pegats a tres noves fallades de Zero-day: iOS, macOS, Safari i més vulnerables
Apple ha publicat una altra ronda de pegats de seguretat per a solucionar tres fallades de Zero-day activament explotats que afecten a iOS, iPadOS, macOS, watchOS i Safari, amb el que el nombre total de fallades de Zero-day descoberts en el seu programari enguany ascendeix a 16.
La llista de vulnerabilitats de seguretat és la següent
CVE-2023-41991 – Un problema de validació de certificats en el marc de seguretat que podria permetre a una aplicació maliciosa eludir la validació de signatures.
CVE-2023-41992 – Una fallada de seguretat en el Kernel que podria permetre a un atacant local elevar els seus privilegis.
CVE-2023-41993 – Una fallada de WebKit que podria donar lloc a l'execució de codi arbitrari en processar contingut web especialment dissenyat.
Apple no va proporcionar més detalls, excepte el reconeixement que el «problema pot haver sigut explotat activament contra versions de iOS anteriors a iOS 16.7».
Recursos afectats
Versions de iOS anteriors a iOS 16.
Recomanacions
Les actualitzacions estan disponibles per als següents dispositius i sistemes operatius.
iOS 16.7 i iPadOS 16.7 – iPhone 8 i posteriors, iPad Pro (tots els models), iPad Air de 3a generació i posteriors, iPad de 5a generació i posteriors, i iPad mini de 5a generació i posteriors.
iOS 17.0.1 i iPadOS 17.0.1 – iPhone XS i posteriors, iPad Pro de 12,9 polzades de segona generació i posteriors, iPad Pro de 10,5 polzades, iPad Pro d'11 polzades de primera generació i posteriors, iPad Air de tercera generació i posteriors, iPad de sisena generació i posteriors, iPad mini de cinquena generació i posteriors
macOS Monterey 12.7 i macOS Ventura 13.6
watchOS 9.6.3 i watchOS 10.0.1 – Apple Watch Sèries 4 i posteriors
Safari 16.6.1 – macOS Big Sud i macOS Monterey
Benvolguts usuaris i usuàries,
Dimarts que ve, 26 de setembre, entre les 16 i les 21 hores actualitzarem la interfície web de correu avançat (sogo.uv.es). Durant aquest període de temps, no podreu accedir al correu a través de SOGo.
Us informem que la interfície de correu tradicional, accessible també des de correu.uv.es, continuarà operativa. L’accés a través de clients de correu tampoc es veurà afectat (Outlook, Thunderbird, Apple mail…).
Totes les dades personals d'agenda i calendari es transferiran a la nova versió sense pèrdua d'informació. La nova versió de SOGo aporta millores importants en usabilitat, seguretat i adaptació als dispositius mòbils.
Notificació enviada a la comunitat universitària
El Comité de Gestió i Coordinació de la Seguretat de la Informació de la Universitat de València limitarà l'accés a protocols i ports des de l'exterior de la xarxa de la UV, el pròxim 2 d'octubre, per a millorar la seua seguretat.
El pròxim 2 d'octubre, el Comité de Gestió i Coordinació de la Seguretat de la Informació de la Universitat de València limitarà a l'exterior de la xarxa de la UV una sèrie de protocols i ports que, per obsolescència i/o seguretat, no haurien d'estar accessibles des de fora de les nostres
instal·lacions.
Els protocols i ports afectats són Telnet (23), FTP (21), MC-SQLR (1434) i PortMapper (111) i AFP (548). Aquests són molt tècnics, com a conseqüència, les restriccions no haurien d'afectar el funcionament habitual dels teus dispositius (equip de sobretaula, portàtil, tauleta, mòbil...) i ser transparents al teu treball diari.
No obstant això, els protocols i ports limitats podran continuar sent utilitzats des de fora de la xarxa de la UV mitjançant la connexió VPN de la Universitat.
L'objectiu d'aquesta acció és continuar amb l'esforç iniciat, fa uns mesos, per a reduir la superfície d'exposició davant atacs informàtics als quals està exposada la xarxa de la Universitat de València. Així mateix, continuar fent passos per a aconseguir la seguretat que us mereixeu i a la qual aspirem des de la UV.
Si tens qualsevol dubte o consulta relacionada amb aquesta novetat, pots posar-te en contacte amb l’Àrea de Seguretat de la Informació del Servei d’Informàtica de la UV a través de https://solicitudes.uv.es o mitjançant correu electrònic a l'adreça enseg @ uv.es.
Actualització de seguretat en productes Adobe
Data de publicació: 13/09/2023
Nivell de perillositat: CRÍTIC
Informem de la publicació d'una actualització de seguretat per part d'Adobe, que corregeix cinc vulnerabilitats relacionades amb diversos dels seus productes. Les fallades reportades podrien permetre l'execució de codi arbitrari de manera remota, comprometent d'aquesta forma la confidencialitat, disponibilitat i integritat dels sistemes vulnerables.
La vulnerabilitat catalogada amb el codi CVE-2023-26369, de tipus “Out-of-bounds Write” ha sigut explotada recentment encara que no s'ha revelat informació addicional sobre els atacs.
Adobe ha qualificat aquesta vulnerabilitat com a crítica.
Actualment es té coneixement de reportes sobre activitat nociva en la xarxa, encara que des de la companyia no s'ha revelat informació addicional sobre els atacs. No obstant això, se sap que afecta tant sistemes Windows com a sistemes macOS. D'altra banda, no s'han publicat proves de concepte (PoC) sobre els detalls de la fallada publicada.
Recursos afectats
La vulnerabilitat reportada afecta als següents productes i versions:
Acrobat DC, Acrobat Reader DC: versió 23.003.20284 i versions anteriors
Acrobat 2020, Acrobat Reader 2020: Versió 20.005.30516 (Mac), Versió 20.005.30514 (Win) i versions anteriors
Solució a la vulnerabilitat
Des de la companyia es recomana actualitzar a les noves versions dels diferents productes Adobe a través dels enllaços que s'ofereixen a continuació:
Adobe Acrobat DC i Acrobat Reader DC: actualitzar a la versió 23.006.20320 en sistemes Windows i macOS.
Adobe Acrobat 2020 i Acrobat Reader 2020: actualitzar a la versió 20.005.30524 en sistemes Windows i macOS.
Recomanem encaridament als usuaris i administradors de sistemes que realitzen les actualitzacions esmentades amb la finalitat d'evitar l'exposició a atacs externs i la presa de control dels sistemes informàtics.
INTRODUCCIÓ
Google ha publicat una actualització per a posar pegats una vulnerabilitat que està sent explotada actualment.
ANÀLISI
CVE-2023-4863:
Desbordament del búfer de munt en WebP que podria donar lloc a l'execució de codi arbitrari o a un bloqueig. Google és conscient que existeix un exploit per a aquesta vulnerabilitat.
RECURSOS AFECTATS:
Versions anteriors a 116.0.5845.187 per a Mac i Linux Versions anteriors a 116.0.5845.187/.188 per a Windows.
RECOMANACIONS:
Actualitzar a 116.0.5845.187 per a Mac i Linux
Actualitzar a 116.0.5845.187/.188 per a Windows
