jueves, 9 de junio de 2016

Vulnerabilidades en diversos productos Symantec

Symantec ha confirmado cuatro vulnerabilidades en productos Symantec Embedded Security (SES:CSP), Symantec Critical System Protection (SCSP) y Symantec Data Center Security (DCS:SA) que podrían permitir ataques de inyección SQL, ejecución remota de código arbitrario o evitar la protección del agente.

Concretamente las vulnerabilidades afectan a las siguientes versiones de los productos:
  • Symantec Embedded Security: Critical System Protection (SES:CSP) 1.0.x
  • Symantec Embedded Security: Critical System Protection for Controllers and Devices (SES:CSP) 6.5.0
  • Symantec Critical System Protection (SCSP) 5.2.9 y anteriores
  • Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.0.x
  • Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.5.x
  • Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.6
  • Symantec Data Center Security: Server Advanced Server and Agents (DCS:SA) 6.6 MP1 

El primer problema, con CVE-2015-8157, afecta a los servidores de administración y podría permitir a usuarios de la red sin privilegios efectuar ataques de inyección SQL. Por otra parte, con CVE-2015-8798, el servidor de administración ni filtra adecuadamente las entradas del usuario, lo que podría permitir a usuarios con permisos restringidos ejecutar código arbitrario con privilegios elevados (este problema no afecta a versiones 5.2.9 y anteriores).

Otro problema (CVE-2015-8799) podría permitir a un usuario privilegios limitados podría instalar paquetes de actualización específicamente diseñados para una posterior ejecución por el agente (este problema no afecta a versiones 5.2.9 y anteriores). Por último, con CVE-2015-8800, un usuario autenticado que pueda leer o escribir en una tubería podría inyectar argumentos arbitrarios que podrían permitir evitar la protección de seguridad del agente. 

Symantec ha publicado actualizaciones para los productos afectados disponibles desde:
Para SES:CSP 1.0.x y 6.5.0 disponibles a través de Symantec File Connect.
Para SES:CSP y SDCS:SA disponibles a través de TechNote INFO3743

Más información:

Security Advisories Relating to Symantec Products - Symantec Embedded Security: Critical System Protection and Symantec Data Center Security: Server Advanced, Multiple Security Issues



Antonio Ropero
Twitter: @aropero

No hay comentarios:

Publicar un comentario en la entrada