.
Outra falha assustadora no sistema rastreada como CVE-2023-40129 é classificada como crítica. “O [vulnerability] poderia levar à execução remota de código sem a necessidade de privilégios de execução adicionais”, disse o Google.
A atualização está disponível para as séries Pixel do Google e Galaxy da Samsung, portanto, se você possui um dispositivo Android, verifique suas configurações o mais rápido possível.
Cisco
A gigante do software Cisco lançou patches para corrigir duas falhas já exploradas. Rastreado como CVE-2023-20198 e com uma impressionante pontuação CVSS de 10, o primeiro é um problema no recurso de interface do usuário da web do software Cisco IOS XE. Afeta dispositivos físicos e virtuais que executam o software Cisco IOS XE que também possuem o recurso HTTP ou HTTPS Server habilitado, disseram pesquisadores da Cisco Talos em um blog.
“A exploração bem-sucedida do CVE-2023-20198 permite que um invasor obtenha acesso de nível de privilégio 15 ao dispositivo, que o invasor pode usar para criar um usuário local e fazer login com acesso normal de usuário”, alertaram os pesquisadores.
O invasor pode usar a nova conta de usuário local não autorizado para explorar uma segunda vulnerabilidade, CVE-2023-20273, em outro componente do recurso WebUI. “Isso permite que o adversário injete comandos com privilégios de root elevados, dando-lhes a capacidade de executar comandos arbitrários no dispositivo”, disse Talos Intelligence, empresa de segurança cibernética da Cisco.
A Cisco “recomenda fortemente que os clientes desabilitem o recurso HTTP Server em todos os sistemas voltados para a Internet ou restrinjam seu acesso a endereços de fontes confiáveis”, escreveu a empresa em um comunicado.
VMware
A VMWare corrigiu duas vulnerabilidades de gravação fora dos limites e divulgação de informações em seu vCenter Server. Rastreada como CVE-2023-34048, a primeira é uma vulnerabilidade na implementação do protocolo DCERPC que pode levar à execução remota de código. A VMware classificou a falha como crítica com uma pontuação base CVSS de 9,8.
No outro extremo da escala CVSS, mas que ainda vale a pena mencionar, está o CVE-2023-34056, um bug de divulgação parcial de informações com pontuação de 4,3. “Um ator mal-intencionado com privilégios não administrativos para o vCenter Server pode aproveitar esse problema para acessar dados não autorizados”, escreveu a VMWare em um comunicado.
Citrix
A empresa de software empresarial Citrix emitiu correções urgentes para vulnerabilidades no NetScaler ADC (anteriormente Citrix ADC) e NetScaler Gateway (anteriormente Citrix Gateway). Rastreado como CVE-2023-4966 e com pontuação CVSS de 9,4, o primeiro bug pode permitir que um invasor exponha informações confidenciais.
CVE-2023-4967 é um problema de negação de serviço com uma pontuação CVSS de 8,2. Explorações do CVE-2023-4966 em dispositivos não mitigados “foram observadas”, disse Citrix. “O Cloud Software Group recomenda fortemente aos clientes do NetScaler ADC e do NetScaler Gateway que instalem as versões atualizadas relevantes do NetScaler ADC e do NetScaler Gateway o mais rápido possível.”
SEIVA
O Security Patch Day de outubro da SAP viu o lançamento de sete novas notas de segurança, todas classificadas como de impacto médio. Rastreada como CVE-2023-42474, a pior falha é uma vulnerabilidade de script entre sites no SAP BusinessObjects Web Intelligence com uma pontuação CVSS de 6,8.
Com apenas nove notas de segurança novas e atualizadas, o Patch Day de outubro da SAP “pertence ao mais calmo dos últimos cinco anos”, disse a empresa de segurança Onapsis.
Embora a contagem de falhas da SAP em outubro tenha sido muito menor do que a de seus pares, os invasores ainda estão por aí, portanto, você ainda deve se manter atualizado e obter correções o mais rápido possível.
.
