Vulnerabilidades críticas en DSM de Synology
Synology ha publicado varias vulnerabilidades de severidad crítica que afectan al software DSM. Los fallos podrían permitir a un atacante ejecutar código arbitrario u obtener información confidencial.
Recursos afectados:
Están afectadas las versiones anteriores a la 7.1.1-42962-2 en los productos:
- DS3622xs+
- FS3410
- HD6500
Solución:
Para solucionar el fallo, es necesario actualizar a la versión 7.1.1-42962-2 o superior.
Vulnerabilidad crítica en FortiOs y FortiProxy
Fortinet ha notificado una vulnerabilidad crítica en algunas versiones de FortiOs y FortiProxy, que afecta a la autenticación en la interfaz administrativa. El fallo podría permitir que, utilizando una ruta o canal alternativo [CWE-88], un atacante no autenticado realice operaciones en la interfaz administrativa a través de solicitudes HTTP o HTTPS especialmente diseñadas.
Recursos afectados:
- FortiOS: de la versión 7.0.0 a la 7.0.6 y de la 7.2.0 a la 7.2.1
- FortiProxy: la versión 7.0.0 a la 7.0.6 y la 7.2.0
*Las versiones anteriores no están afectadas.
Soluciones:
Debido a la posibilidad de explotación remota de la vulnerabilidad, se recomienda encarecidamente actualizar de forma inmediata.
- En el caso de FortiOS, es necesario actualizar a las versiones 7.0.7 o 7.2.2 o superior.
- En el caso de FortiProxy, es necesario actualizar a las versiones 7.0.7 o 7.2.1 o superior.
- Para sistemas 6K/7K, hay que consultar el boletín de atención al cliente CSB-221006-2 para obtener detalles de la versión.
En caso de no poder actualizar los dispositivos por estos medios, se recomienda deshabilitar inmediatamente la administración de HTTPS frente a Internet, hasta que se pueda llevar a cabo la actualización.
Además, es posible aplicar Trusted Host en la autenticación del firewall para restringir el tráfico. En este caso, puedes consultar el boletín de atención al cliente CSB-221006-1.
Vulnerabilidades zero day en Microsoft Exchange Server
Microsoft está investigando dos vulnerabilidades Zero Day que afectan a varias versiones de Microsoft Exchange Server. Uno de los fallos es de tipo Server-Side Request Forgery (SSRF) y el segundo permitiría la ejecución remota de código cuando el atacante puede acceder a PowerShell.
La compañía es consciente de que estas vulnerabilidades están siendo explotadas activamente para entrar en los sistemas de los usuarios.
Recursos afectados:
- Exchange Server 2013
- Exchange Server 2016
- Exchange Server 2019
Solución:
En estos momentos no hay disponible una actualización o parche de seguridad que corrija estas vulnerabilidades. Pero, Microsoft recomienda aplicar medidas de mitigación, disponibles en este enlace. Además, apuntan que, si no se ejecuta Microsoft Exchange on premise y no se tiene Outlook Web App con acceso a Internet, no se verá afectado.