Seguridad de TI: Apéndice, CISCO Desktop y F5 Network están en riesgo - Actualización de la información de seguridad de TI en OpenSSL (Riesgo: medio)

El aviso de seguridad publicado para OpenSSL ha recibido una actualización de BSI. Puedes aprender cómo deben comportarse los influencers aquí.

Oficina Federal de Seguridad en Tecnología de la Información (BSI) el 5 de enero de 2025 publicó una actualización sobre un agujero de seguridad con múltiples vulnerabilidades para OpenSSL que se conoció el 1 de noviembre de 2022. Los sistemas operativos afectados por la vulnerabilidad de seguridad incluyen Appliance, CISCO Appliance, F5 Networks, Hardware Appliance, Juniper Appliance, Linux, MacOS Enterprise Linux, NetApp Data ONTAP, Ubuntu Linux, SUSE Linux, Oracle Linux, HPE Switch, Microsoft Windows Azure, Gentoo. Linux, Broadcom Brocade Switch, Alcatel Lucent Enterprise OmniSwitch, Juniper JUNOS, OpenSSL OpenSSL, IBM DB2, IBM MQ, Tenable Security Nessus, Open Source Node.js, Unify OpenScape UC Application, Lenovo Computer, IBM Spectrum Protect y AMD Radeon.

Las últimas recomendaciones del fabricante con respecto a actualizaciones, correcciones y parches de seguridad para esta vulnerabilidad se pueden encontrar aquí: Boletín de seguridad de IBM 7180282 (A partir del 4 de enero de 2025). Otros enlaces útiles se enumeran más adelante en este artículo.

Demasiada sofisticación para OpenSSL - Riesgo: medio

Nivel de riesgo: 4 (medio)
Punto central CVSS: 7,5
Puntuación provisional CVSS: 6,7
Ataque a distancia: Sí

El Sistema de puntuación de vulnerabilidad común (CVSS) se utiliza para evaluar la gravedad de las vulnerabilidades en los sistemas informáticos. El estándar CVSS permite comparar vulnerabilidades de seguridad potenciales o reales en función de diferentes métricas para evitar contramedidas. Los atributos "ninguno", "bajo", "moderado", "alto" y "crítico" se utilizan para definir los niveles de gravedad de la vulnerabilidad. Baseline mide los requisitos de un ataque (incluida la precisión, la complejidad, los privilegios y la interacción del usuario) y sus consecuencias. La dimensión temporal también tiene en cuenta los cambios en la situación de riesgo a lo largo del tiempo. Según CVSS, la vulnerabilidad actual está clasificada como "moderada" con una puntuación inicial de 7,5.

Error de OpenSSL: gravedad y número de CVE

OpenSSL es una biblioteca de código fuente disponible gratuitamente que implementa Secure Sockets Layer (SSL) y Transport Layer Security (TLS).

Un atacante remoto y desconocido podría aprovechar varias vulnerabilidades en OpenSSL para provocar una denegación de servicio y potencialmente ejecutar código arbitrario.

La vulnerabilidad está etiquetada con los números de serie únicos de vulnerabilidades y exposiciones comunes (CVE) CVE-2022-3602 y CVE-2022-3786.

Una descripción general de los sistemas afectados por la vulnerabilidad de seguridad OpenSSL

sistemas operativos
Dispositivo, Dispositivo CISCO, Redes F5, Dispositivo de hardware, Dispositivo Juniper, Linux, MacOS X, UNIX, Windows

Productos
Servidor de transferencia de archivos administrado SolarWinds Serv-U 15.3.1 (cpe:/a:solarwinds:serv-u)
Amazon Linux 2 (cpe:/o:amazon:linux_2)
IBM AIX (cpe:/o:ibm:aix)
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
ONTAP de datos de NetApp (cpe:/a:netapp:data_ontap)
Ubuntu Linux (cpe:/o:canonical:ubuntu_linux)
SUSE Linux (cpe:/o:suse:suse_linux)
Oracle Linux (cpe:/o:oracle:linux)
Conmutador HPE (cpe:/h:hp:conmutador)
Microsoft Windows Azure (cpe:/a:microsoft:windows_azure)
Gentoo Linux (cpe:/o:gentoo:linux)
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
Conmutador Broadcom Brocade (cpe:/h:brocade:conmutador)
Alcatel Lucent Enterprise OmniSwitch (cpe:/h:alcatel-lucent:omniswitch)
Juniper JUNOS Evolucionado (cpe:/o:juniper:junos)
OpenSSL de código abierto >=3.0.0 (cpe:/a:openssl:openssl)
OpenSSL de código abierto >=3.0.0 (cpe:/a:openssl:openssl)
IBM DB2 Big SQL (cpe:/a:ibm:db2)
IBM MQ 9.3 LTS (cpe:/a:ibm:mq)
OpenSSL de código abierto <3.0.7 (cpe:/a:openssl:openssl)
Código abierto OpenSSL 3.0.7 (cpe:/a:openssl:openssl)
Seguridad Tenable Nessus Agent 10.0.0-10.2.0 (cpe:/a:tenable:nessus)
Seguridad tenable Nessus 10.3.2 (cpe:/a:tenable:nessus)
Seguridad sostenible Nessus <10.4.1 (cpe:/a:tenable:nessus)
Seguridad tenable Nessus 10.4.1 (cpe:/a:tenable:nessus)
Código abierto Node.js <14.21.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js 14.21.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js <16.18.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js 16.18.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js <18.12.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js 18.12.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js <19.0.1 (cpe:/a:nodejs:nodejs)
Código abierto Node.js 19.0.1 (cpe:/a:nodejs:nodejs)
Aplicación OpenScape UC Unify > 10.4.8.2 (cpe:/a:unify:openscape_uc_application)
Aplicación OpenScape UC Unify 10.4.8.2 (cpe:/a:unify:openscape_uc_application)
Seguridad sostenible de Nessus
Monitor de red de seguridad Nessus 6.1.1 (cpe:/a:tenable:nessus)
Computadoras Lenovo (cpe:/h:lenovo:computadora)
IBM Spectrum Protect plus <10.1.14 (cpe:/a:ibm:spectrum_protect)
IBM Spectrum Protect más 10.1.14 (cpe:/a:ibm:spectrum_protect)
AMD Radeon (cpe:/h:amd:radeon)

Medidas generales para hacer frente a las vulnerabilidades de TI

1. Los usuarios de las aplicaciones afectadas deben actualizarlas. Cuando se conocen agujeros de seguridad, los fabricantes deben solucionarlos lo más rápido posible mediante el desarrollo de un parche o solución. Si hay nuevas actualizaciones de seguridad, instálelas inmediatamente.
2. Para obtener información, consulte los recursos enumerados en la siguiente sección. Generalmente incluyen más información sobre la última versión del software en cuestión, así como la disponibilidad de parches de seguridad o consejos para la solución de problemas.
3. Si tiene más preguntas o inquietudes, comuníquese con su administrador responsable. Los administradores de seguridad de TI deben verificar periódicamente cuándo Conciencia de seguridad de TI Los fabricantes afectados proporcionan una nueva actualización de seguridad.

Fuentes de actualizaciones, parches y correcciones

Aquí encontrará enlaces adicionales con información sobre informes de errores, correcciones de seguridad y soluciones.

Boletín de seguridad de IBM 7180282 del 4 de enero de 2025 (01.05.2025)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-12842 2024-11-25 (25.11.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-12408 2024-06-05 (04.06.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-12409 2024-06-04 (04.06.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-23120 2024-06-04 (04.06.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-20865 2024-04-25 (24.04.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-12343 2024-04-25 (24.04.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Amazon Linux ALAS-2023-286 del 23 de enero de 2024 (22.01.2024)
Puede encontrar más información aquí:

Boletín de seguridad HPE (13.08.2023)
Puede encontrar más información aquí:

Boletín de seguridad de AMD AMD-SB-7001 del 9 de agosto de 2023 (08/08/2023)
Puede encontrar más información aquí:

Aviso de seguridad de Lenovo LEN-106015 con fecha del 9 de agosto de 2023 (08/08/2023)
Puede encontrar más información aquí:

Boletín de seguridad de IBM 6999285 del 30 de mayo de 2023 (30.05.2023)
Puede encontrar más información aquí:

Boletín de seguridad de IBM 6857295 del 24 de enero de 2023 (24.01.2023)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2022: 4586-1 con fecha del 20 de diciembre de 2022 (20 de diciembre de 2022)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2022-10004 del 17 de noviembre de 2022 (17.11.2022)
Puede encontrar más información aquí:

Consejos de seguridad del Centro de confianza de SolarWinds (10/11/2022)
Puede encontrar más información aquí:

Consultoría de seguridad de Alcatel-Lucent (08.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de Tenable TNS-2022-25 del 2022-11-08 (08.11.2022)
Puede encontrar más información aquí:

Informe Asesor de Seguridad Integrado OBSO-2211-01 de fecha 08-11-2022 (08.11.2022)
Puede encontrar más información aquí:

Guía de actualización de seguridad de Microsoft 2022-11-02 (08.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de node.js (06.11.2022)
Puede encontrar más información aquí:

Boletín de seguridad de IBM 6837195 del 5 de noviembre de 2022 (06.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de NetApp NTAP-20221102-0001 2022-11-02 (02.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de Tenable TNS-2022-23 del 2022-11-03 (02.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de Tenable TNS-2022-22 del 2022-11-02 (02.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de Tenable TNS-2022-24 del 2022-11-03 (02.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2022: 7384 2022-11-03 (02.11.2022)
Puede encontrar más información aquí:

Aviso de seguridad de Tenable TNS-2022-22 del 2022-11-02 (02.11.2022)
Puede encontrar más información aquí:

prueba de concepto (01/11/2022)
Puede encontrar más información aquí:

Aviso de seguridad de Cisco cisco-sa-openssl-W9sdCc2a 2022-11-01 (01/11/2022)
Puede encontrar más información aquí:

Boletín de seguridad de Juniper del 2022-11-01 (01/11/2022)
Puede encontrar más información aquí:

Boletín de seguridad de Ubuntu USN-5710-1 con fecha del 1 de noviembre de 2022 (01/11/2022)
Puede encontrar más información aquí:

Aviso de seguridad de Gentoo Linux GLSA-202211-01 del 2022-11-01 (01/11/2022)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2022:3843-1 con fecha del 1 de noviembre de 2022 (01/11/2022)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2022-7288 2022-11-01 (01/11/2022)
Puede encontrar más información aquí:

Aviso de seguridad de Amazon Linux ALAS-2022-157 del 1 de noviembre de 2022 (01/11/2022)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2022: 7288 2022-11-01 (01/11/2022)
Puede encontrar más información aquí:

Aviso de seguridad de OpenSSL del 1 de noviembre de 2022 (01/11/2022)
Puede encontrar más información aquí:

La fecha de revisión de este aviso de seguridad.

Esta es la decimosexta versión de este boletín de seguridad de TI para OpenSSL. Si se anuncian más actualizaciones, esta publicación se actualizará. Puede leer sobre los cambios o adiciones en el historial de esta versión.

1 de noviembre de 2022 - Versión inicial
02/11/2022: se agregaron nuevas actualizaciones de Tenable, Red Hat y NetApp
6 de noviembre de 2022: se agregaron nuevas actualizaciones de IBM
8 de noviembre de 2022: se agregaron nuevas actualizaciones de Unify y Tenable
10/11/2022 - Se agregaron nuevas actualizaciones
17 de noviembre de 2022: se agregaron nuevas actualizaciones de Oracle Linux
20/12/2022: se agregaron nuevas actualizaciones de SUSE
24/01/2023 - Se agregaron nuevas actualizaciones de IBM
30 de mayo de 2023: se agregaron nuevas actualizaciones de IBM
08/08/2023 - Se agregaron nuevas actualizaciones de LENOVO y AMD
13/08/2023 - Se agregaron nuevas actualizaciones de HP
22/01/2024 - Se agregaron nuevas actualizaciones de Amazon
24 de abril de 2024: se agregaron nuevas actualizaciones de Oracle Linux
4 de junio de 2024: se agregaron nuevas actualizaciones de Oracle Linux
25 de noviembre de 2024: se agregaron nuevas actualizaciones de Oracle Linux
01.05.2025 - Se agregaron nuevas actualizaciones de IBM