• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / General / Múltiples apps y servicios de banca y salud en peligro debido a una nueva vulnerabilidad con un CVSS Score de 10/10

Múltiples apps y servicios de banca y salud en peligro debido a una nueva vulnerabilidad con un CVSS Score de 10/10

6 mayo, 2022 Por Jesús Pacheco Dejar un comentario

Múltiples Apps y servicios de banca y salud en peligro debido a una nueva vulnerabilidad con un CVSS Score de 10/10 recientemente publicada que afecta a varios productos de la empresa WSO2.

WSO2 es una mundialmente conocida empresa dedicada a desarrollar aplicaciones open source dirigidas. sobre todo. a los sectores de finanzas, salud, educación e IoT, entre otros. Entre sus clientes se encuentran marcas e instituciones de renombre como American Express, ING, Deutsche Bank, Ebay, Verifone, Scheneider Electric, la cadena hotelera Hilton o importantes servicios como Transportes de Londres o el Departamento de Aguas y Energía de Los Ángeles, entre otros.

Entre sus servicios más extendidos están «WSO2 API Manager», «WSO2 Identity Server», «WSO2 Enterprise Integrator» y «WSO2 Open Banking», todos ellos afectados por la vulnerabilidad reportada el pasado 18 de abril con un CVSS Score de 10 sobre 10, el más alto en la escala e identificada como CVE-2022-29464.

Dicha vulnerabilidad es de extrema gravedad, ya que permite ser llevada a cabo por cualquiera, sin necesidad de escalar privilegios ni tener conocimientos técnicos avanzados. Las versiones afectadas de los productos de WSO2 permiten la carga de archivos sin restricciones haciendo posible así la ejecución de código remoto.

Se desconoce si ha sido o está siendo explotada activamente, pero teniendo en cuenta que uno de los servicios afectados, como es el «WSO2 API Manager», gestiona actualmente más de 200.000 APIs de diferentes verticales de la industria y más de 50.000 millones de transacciones diarias, podría suponer un problema bastante serio.

Por suerte ya ha sido identificada y reportada, por lo que se espera que los afectados hayan realizado ya las pertinentes actualizaciones para corregir dicha vulnerabilidad.

En GitHub está disponible el writeup junto con el exploit y la PoC de esta vulnerabilidad, descubierta y publicada por el hacker taiwanés «Orange Tsai» que alertó a WSO2, siguiendo las normas del hacking ético.

Más información:

https://www.chakray.com/es/wso2-api-manager-que-es-y-para-que-sirve/

https://github.com/hakivvi/CVE-2022-29464

https://docs.wso2.com/display/Security/Security+Advisory+WSO2-2021-1738

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Libros recomendados

Pentesting con FOCA

Arduino para Hackers

Técnicas de Análisis Forense

Archivado en: General, Vulnerabilidades

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscador

Email Newsletter

Suscríbase y reciba Una al Día en su correo.

UADCAST

Populares de UAD

  • Multa de hasta 1 millón de dólares por una mala gestión de ransomware
  • Cómo limitar el acceso a nuestros recursos en AWS con nuevas claves condicionales
  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Un banco español es condenado a pagar a una clienta víctima de phishing

Entradas recientes

  • Entrevista a Miroslav Stampar, creador de SQLMap
  • Cómo limitar el acceso a nuestros recursos en AWS con nuevas claves condicionales
  • Multa de hasta 1 millón de dólares por una mala gestión de ransomware
  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Empleados de empresas de fusiones y adquisiciones, nuevo «target» de los Ciberdelincuentes.
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

Una al Día

Una Al Día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Entradas recientes

  • Entrevista a Miroslav Stampar, creador de SQLMap
  • Cómo limitar el acceso a nuestros recursos en AWS con nuevas claves condicionales
  • Multa de hasta 1 millón de dólares por una mala gestión de ransomware
  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000

Etiquetas

0-day Android Apple Chrome Ciberataque cve D-Link Facebook Google iOS leak linux malware Microsoft Mozilla OpenSSL Oracle OS X Phishing PHP ransomware rce vulnerabilidad vulnerabilidades Windows WordPress

Copyright © 2022 · Hispasec

 

Cargando comentarios...