Outros problemas corrigidos em outubro são um estouro de buffer de heap no WebSQL rastreado como CVE-2022-3446 e um bug use-after-free na API de permissões rastreado como CVE-2022-3448, escreveu o Google em seu blog. O Google também corrigiu dois bugs de uso após a liberação na Navegação segura e na Conexão de pares.
GoogleAndroid
o Boletim de segurança do Android para outubro inclui correções para 15 falhas no Framework e no Sistema e 33 problemas no kernel e nos componentes do fornecedor. Um dos problemas mais preocupantes é uma vulnerabilidade crítica de segurança no componente Framework que pode levar ao escalonamento local de privilégio, rastreado como CVE-2022-20419. Enquanto isso, uma falha no Kernel também pode levar a uma escalada local de privilégios sem a necessidade de privilégios de execução adicionais.
Nenhum dos problemas é conhecido por ter sido usado em ataques, mas ainda faz sentido verificar seu dispositivo e atualizá-lo quando puder. O Google emitiu a atualização para seus dispositivos Pixel e também está disponível para os smartphones das séries Samsung Galaxy S21 e S22 e Galaxy S21 FE.
Cisco
A Cisco tem incitado empresas para corrigir duas falhas em seu AnyConnect Secure Mobility Client para Windows depois que foi confirmado que as vulnerabilidades estão sendo usadas em ataques. Rastreado como CVE-2020-3433, o primeiro pode permitir que um invasor com credenciais válidas no Windows execute código na máquina afetada com privilégios de sistema.
Enquanto isso, o CVE-2020-3153 pode permitir que um invasor com credenciais válidas do Windows copie arquivos maliciosos para locais arbitrários com privilégios no nível do sistema.
A Agência de Segurança Cibernética e Infraestrutura dos EUA adicionou as falhas da Cisco à sua já catálogo de vulnerabilidades exploradas.
Embora ambas as falhas da Cisco exijam que o invasor seja autenticado, ainda é importante atualizar agora.
Ampliação
O serviço de videoconferência Zoom corrigiu vários problemas em outubro, incluindo uma falha em seu cliente Zoom para reuniões, que é marcado como de alta gravidade com uma pontuação CVSS de 8,8. Zoom diz que versões anteriores à versão 5.12.2 são suscetíveis a uma vulnerabilidade de análise de URL rastreada como CVE-2022-28763.
“Se um URL malicioso de reunião do Zoom for aberto, o link pode direcionar o usuário a se conectar a um endereço de rede arbitrário, levando a ataques adicionais, incluindo tomadas de sessão”, disse Zoom em um comunicado. boletim de segurança.
No início do mês, o Zoom alertou os usuários de que seu cliente para reuniões para macOS começando com 5.10.6 e anterior a 5.12.0 continha uma configuração incorreta da porta de depuração.
VMWare
A gigante do software VMWare corrigiu uma séria vulnerabilidade em sua Cloud Foundation
Rastreado como CVE-2021-39144. A vulnerabilidade de execução remota de código por meio da biblioteca de código aberto XStream é classificada como tendo uma gravidade crítica com uma pontuação base máxima de CVSSv3 de 9,8. “Devido a um endpoint não autenticado que aproveita o XStream para serialização de entrada no VMware Cloud Foundation, um agente mal-intencionado pode obter execução remota de código no contexto de 'raiz' no dispositivo”, disse a VMWare em um comunicado. consultivo.
A atualização do VMware Cloud Foundation também aborda uma vulnerabilidade de entidade externa XML com uma pontuação básica de CVSSv3 menor de 5,3. Rastreado como CVE-2022-31678, o bug pode permitir que um usuário não autenticado execute negação de serviço.
Zimbra
A empresa de software Zimbra emitiu patches para corrigir uma falha de execução de código já explorada que pode permitir que um invasor acesse contas de usuários. O problema, rastreado como CVE-2022-41352, tem uma pontuação de gravidade CVSS de 9,8.
A exploração foi detectada por Rápido7 pesquisadores, que identificaram sinais de que ela havia sido usada em ataques. O Zimbra lançou inicialmente uma solução alternativa para corrigi-lo, mas agora o patch está disponível, você deve aplicá-lo o mais rápido possível.
SEIVA
A empresa de software empresarial SAP publicou 23 notas de segurança novas e atualizadas em seu Patch Day de outubro. Entre os problemas mais sérios está uma vulnerabilidade crítica do Path Traversal no SAP Manufacturing Execution. A vulnerabilidade afeta dois plugins: Visualizador de Instrução de Trabalho e Teste e Reparo Visual e tem uma pontuação CVSS de 9,9.
Outro problema com uma pontuação CVSS de 9,6 é uma vulnerabilidade de seqüestro de conta na página de login do SAP Commerce.
Oráculo
A gigante do software Oracle lançou 370 patches como parte de sua atualização de segurança trimestral. do oráculo Atualização crítica do patch para outubro corrige 50 vulnerabilidades classificadas como críticas.
A atualização contém 37 novos patches de segurança para Oracle MySQL, 11 dos quais podem ser explorados remotamente sem autenticação. Ele também contém 24 novos patches de segurança para Oracle Financial Services Applications, 16 dos quais podem ser explorados remotamente sem autenticação.
Devido à “ameaça representada por um ataque bem-sucedido”, a Oracle “recomenda fortemente” que os clientes apliquem os patches de segurança da Atualização de Patch Crítico o mais rápido possível.