Ivanti, Fortinet, SAP, VMware, parche n8n RCE, inyección SQL, fallas de escalada de privilegios – CYBERDEFENSA.MX
admin Noticias, Trending
Ivanti, Fortinet, SAP, VMware, parche n8n RCE, inyección SQL, fallas de escalada de privilegios – CYBERDEFENSA.MX

Ivanti, Fortinet, n8n, SAP y VMware han lanzado correcciones de seguridad para varias vulnerabilidades que podrían ser aprovechadas por delincuentes para eludir la autenticación y ejecutar código arbitrario.

Encabezando la lista está un defecto crítico impactando a Ivanti Xtraction (CVE-2026-8043, puntuación CVSS: 9.6) que podría explotarse para lograr divulgación de información o ataques del lado del cliente.

«El control externo de un nombre de archivo en Ivanti Xtraction antes de la versión 2026.2 permite a un atacante remoto autenticado leer archivos confidenciales y escribir archivos HTML arbitrarios en un directorio web, lo que lleva a la divulgación de información y posibles ataques del lado del cliente», Ivanti dicho en un aviso.

Fortinet publicó avisos sobre dos deficiencias críticas que afectan a FortiAuthenticator y FortiSandbox, FortiSandbox Cloud y FortiSandbox PaaS que podrían resultar en la ejecución de código:

  • CVE-2026-44277 (Puntuación CVSS: 9.1): una vulnerabilidad de control de acceso inadecuado en FortiAuthenticator que puede permitir que un atacante no autenticado ejecute código o comandos no autorizados a través de solicitudes diseñadas. (Corregido en las versiones 6.5.7, 6.6.9 y 8.0.3 de FortiAuthenticator)
  • CVE-2026-26083 (Puntuación CVSS: 9.1): una vulnerabilidad de autorización faltante en FortiSandbox, FortiSandbox Cloud y FortiSandbox PaaS WEB UI que puede permitir que un atacante no autenticado ejecute código o comandos no autorizados a través de solicitudes HTTP. (Corregido en FortiSandbox versiones 4.4.9 y 5.0.2, FortiSandbox Cloud versión 5.0.6 y FortiSandbox PaaS versiones 4.4.9. y 5.0.2)
Ciberseguridad

SAP también enviado correcciones para dos vulnerabilidades críticas:

  • CVE-2026-34260 (Puntuación CVSS: 9,6) – Una vulnerabilidad de inyección SQL en SAP S/4HANA
  • CVE-2026-34263 (Puntuación CVSS: 9,6): falta una verificación de autenticación en la configuración de la nube de SAP Commerce

«La vulnerabilidad es causada por una configuración de seguridad demasiado permisiva con un orden de reglas inadecuado, lo que permite a un usuario no autenticado realizar una carga de configuración maliciosa e inyección de código, lo que resulta en la ejecución arbitraria de código del lado del servidor», Onapsis dicho sobre CVE-2026-34263.

Por otro lado, un atacante podría aprovechar CVE-2026-34260 para inyectar declaraciones SQL maliciosas y potencialmente afectar la confidencialidad y disponibilidad de la aplicación. Sin embargo, dado que el código afectado sólo permite acceso de lectura a los datos, la vulnerabilidad no compromete la integridad de la aplicación.

«Permite que un atacante autenticado y con pocos privilegios inyecte código SQL malicioso a través de entradas controladas por el usuario, exponiendo potencialmente información confidencial de la base de datos y colapsando la aplicación», Pathlock dicho.

Broadcom también lanzó parches para una falla de alta gravedad en VMware Fusion (CVE-2026-41702, puntuación CVSS: 7.8) que podría allanar el camino para una escalada de privilegios locales. El problema se solucionó en la versión 26H1.

«VMware Fusion contiene una vulnerabilidad TOCTOU (Tiempo de verificación y tiempo de uso) que ocurre durante una operación realizada por un binario SETUID», Broadcom dicho. «Un actor malicioso con privilegios de usuario local no administrativo puede aprovechar esta vulnerabilidad para escalar privilegios a root en el sistema donde está instalado Fusion».

Para completar la lista hay un conjunto de cinco vulnerabilidades críticas que afectan a n8n:

  • CVE-2026-42231 (Puntuación CVSS: 9,4): una vulnerabilidad en la biblioteca xml2js utilizada para analizar los cuerpos de solicitud XML en el controlador de webhook de n8n que permite la contaminación de prototipos a través de una carga útil XML diseñada, lo que permite a un usuario autenticado con permiso crear o modificar flujos de trabajo para lograr la ejecución remota de código en el host n8n. (Corregido en las versiones 1.123.32, 2.17.4 y 2.18.1 de n8n)
  • CVE-2026-42232 (Puntuación CVSS: 9,4): un usuario autenticado con permiso para crear o modificar flujos de trabajo podría lograr una contaminación global del prototipo a través del nodo XML, lo que lleva a la ejecución remota de código cuando se combina con otros nodos que explotan la contaminación del prototipo. (Corregido en las versiones 1.123.32, 2.17.4 y 2.18.1 de n8n)
  • CVE-2026-44791 (Puntuación CVSS: 9,4): una omisión para CVE-2026-42232 que podría provocar la ejecución remota de código en el host n8n. (Corregido en las versiones 1.123.43, 2.20.7 y 2.22.1 de n8n)
  • CVE-2026-44789 (Puntuación CVSS: 9,4): un usuario autenticado con permiso para crear o modificar flujos de trabajo podría lograr una contaminación global del prototipo a través de un parámetro de paginación no validado en el nodo de solicitud HTTP, lo que llevaría a la ejecución remota de código en el host n8n. (Corregido en las versiones 1.123.43, 2.20.7 y 2.22.1 de n8n)
  • CVE-2026-44790 (Puntuación CVSS: 9,4): un usuario autenticado con permiso para crear o modificar flujos de trabajo podría inyectar indicadores CLI en la operación Push del nodo Git, lo que permitiría a un atacante leer archivos arbitrarios del servidor n8n y provocar un compromiso total. (Corregido en las versiones 1.123.43, 2.20.7 y 2.22.1 de n8n)
Ciberseguridad

Parches de software de otros proveedores

Otros proveedores también han publicado actualizaciones de seguridad durante las últimas semanas para rectificar varias vulnerabilidades, que incluyen:

Cuatro fallas de OpenClaw permiten el robo de datos, la escalada de privilegios y la persistencia – CYBERDEFENSA.MX
admin Noticias, Trending
Cuatro fallas de OpenClaw permiten el robo de datos, la escalada de privilegios y la persistencia – CYBERDEFENSA.MX

Investigadores de ciberseguridad han revelado un conjunto de cuatro fallas de seguridad en OpenClaw que podrían encadenarse para lograr robo de datos, escalada de privilegios y persistencia.

Las vulnerabilidades, denominadas colectivamente

Cadena de garras

de Cyera, puede permitir que un atacante establezca un punto de apoyo, exponga datos confidenciales y coloque puertas traseras. A continuación se incluye una breve descripción de los defectos:


  • CVE-2026-44112

    (Puntuación CVSS: 9,6/6,3) – Una vulnerabilidad de condición de carrera de tiempo de verificación/tiempo de uso (TOCTOU) en el
    OpenShell
    backend de sandbox administrado que permite a los atacantes eludir las restricciones del sandbox y redirigir escrituras fuera de la raíz de montaje deseada.


  • CVE-2026-44113

    (Puntuación CVSS: 7.7/6.3) – Una vulnerabilidad de condición de carrera de TOCTOU en OpenShell que permite a los atacantes eludir las restricciones del sandbox y leer archivos fuera de la raíz de montaje deseada.


  • CVE-2026-44115

    (Puntuación CVSS: 8,8): una lista incompleta de vulnerabilidades de entradas no permitidas que permite a los atacantes eludir la validación de la lista permitida mediante la incorporación de tokens de expansión de shell en un
    aquí documento
    (heredoc) cuerpo para ejecutar comandos no aprobados en tiempo de ejecución.


  • CVE-2026-44118

    (Puntuación CVSS: 7,8): una vulnerabilidad de control de acceso inadecuado que podría permitir que los clientes de loopback que no son propietarios se hagan pasar por un propietario para elevar sus privilegios y obtener control sobre la configuración de la puerta de enlace, la programación cron y la gestión del entorno de ejecución.

Cyera dijo que la explotación exitosa de CVE-2026-44112 podría permitir a un atacante alterar la configuración, instalar puertas traseras y establecer un control persistente sobre el host comprometido, mientras que CVE-2026-44113 podría usarse como arma para leer archivos del sistema, credenciales y artefactos internos.

Ciberseguridad

La cadena de explotación se desarrolla en cuatro pasos:

  • Un complemento malicioso, una inyección rápida o una entrada externa comprometida obtienen la ejecución del código dentro del entorno limitado de OpenShell.
  • Aproveche CVE-2026-44113 y CVE-2026-44115 para exponer credenciales, secretos y archivos confidenciales.
  • Explote CVE-2026-44118 para obtener control a nivel de propietario del tiempo de ejecución del agente.
  • Utilice CVE-2026-44112 para instalar puertas traseras o realizar cambios de configuración y configurar la persistencia.

La causa principal de CVE-2026-44118, según la empresa de ciberseguridad, surge del hecho de que OpenClaw confía en un indicador de propiedad controlado por el cliente llamado senderIsOwner, que indica si la persona que llama está autorizada para utilizar herramientas exclusivas del propietario, sin validarla con la sesión autenticada.

«El tiempo de ejecución de bucle invertido de MCP ahora emite tokens de propietario y portador no propietario separados y deriva senderIsOwner exclusivamente de qué token autenticó la solicitud», OpenClaw detalló las correcciones en un aviso para la falla. «El encabezado remitente-propietario falsificado ya no se emite ni es confiable».

Tras una divulgación responsable, las cuatro vulnerabilidades se abordaron en la versión 2026.4.22 de OpenClaw. Al investigador de seguridad Vladimir Tokarev se le atribuye el mérito de descubrir e informar los problemas. Se recomienda a los usuarios que actualicen a la última versión para mantenerse protegidos contra posibles amenazas.

«Al utilizar los propios privilegios del agente como arma, un adversario se mueve a través del acceso a datos, la escalada de privilegios y la persistencia, utilizando al agente como sus manos dentro del entorno», dijo Cyera. «Cada paso parece el comportamiento normal de un agente según los controles tradicionales, lo que amplía el radio de explosión y dificulta significativamente la detección».

Windows Zero-Days expone omisiones de BitLocker y escalada de privilegios de CTFMON – CYBERDEFENSA.MX
admin Noticias, Trending
Windows Zero-Days expone omisiones de BitLocker y escalada de privilegios de CTFMON – CYBERDEFENSA.MX

Un investigador anónimo de ciberseguridad que reveló tres vulnerabilidades de Microsoft Defender regresó con dos días cero más que involucran una omisión de BitLocker y una escalada de privilegios que afectan el Marco de traducción colaborativa de Windows (CTFMON).

El defectos de seguridad han sido nombrados en código llave amarilla y plasma verderespectivamente, por el investigador, que utiliza los alias en línea Chaotic Eclipse y Nightmare-Eclipse.

El investigador describió llave amarilla como «uno de los descubrimientos más locos que he encontrado», comparando la derivación de BitLocker con el funcionamiento de una puerta trasera, ya que el error sólo está presente en el entorno de recuperación de Windows (WinRE), un marco integrado diseñado para solucionar y reparar problemas comunes del sistema operativo que no arranca.

YellowKey afecta a Windows 11 y Windows Server 2022/2025. En un nivel alto, implica copiar archivos «FsTx» especialmente diseñados en una unidad USB o en la partición EFI, conectar la unidad USB a la computadora Windows de destino con las protecciones BitLocker activadas, reiniciar en WinRE y activar un shell manteniendo presionada la tecla CTRL.

«Creo que incluso MSRC tardará un tiempo en encontrar la verdadera causa raíz del problema. Simplemente nunca logré entender por qué esta vulnerabilidad está tan bien oculta», afirma el investigador. explicado. «Lo segundo es que no, TPM+PIN no ayuda, el problema aún se puede explotar de todos modos».

El investigador de seguridad Will Dormann, en un correo compartido en Mastodon, dijo: «Pude reproducir [YellowKey] con una unidad USB conectada», y agrega, «parece que los bits NTFS transaccionales en una unidad USB pueden eliminar el archivo winpeshl.ini en OTRA UNIDAD (X:). Y obtenemos un mensaje de cmd.exe, con BitLocker desbloqueado en lugar del entorno de recuperación de Windows esperado».

Ciberseguridad

«Mientras el BitLocker solo para TPM bypass es realmente interesante, creo que la pista oculta aquí es que un directorio \System Volume Information\FsTx en un volumen tiene la capacidad de modificar el contenido de otro volumen cuando se reproduce», señaló Dormann. «Para mí, esto en sí mismo suena como una vulnerabilidad».

La segunda vulnerabilidad señalada por Chaotic Eclipse es un caso de seguridad de escalada de privilegios que podría explotarse para obtener un shell con permisos de SISTEMA. Surge como resultado de lo que se ha descrito como creación de secciones arbitrarias CTFMON de Windows.

La prueba de concepto (PoC) publicada está incompleta y carece del código necesario para obtener un shell del SISTEMA completo. En su forma actual, el exploit puede permitir a un usuario sin privilegios crear objetos de sección de memoria arbitrarios dentro de objetos de directorio que pueden ser escritos por el SISTEMA, permitiendo potencialmente la manipulación de servicios privilegiados o controladores que implícitamente confían en esas rutas, ya que un usuario estándar no tiene acceso de escritura a las ubicaciones.

El desarrollo se produce casi un mes después de que el investigador publicó tres días cero de Defender denominados BlueHammer, RedSun y UnDefend después de supuestamente expresar su insatisfacción con el manejo por parte de Microsoft del proceso de divulgación de vulnerabilidades. Desde entonces, las deficiencias han sido objeto de explotación activa en la naturaleza.

Si bien a BlueHammer se le asignó oficialmente el identificador CVE-2026-33825 y Microsoft lo parchó el mes pasado, Chaotic Eclipse dijo que el gigante tecnológico parece haberse dirigido «silenciosamente» a RedSun sin emitir ningún aviso.

«Espero que al menos intentes resolver la situación de manera responsable. No estoy seguro de qué tipo de reacción esperabas de mí cuando echaste más leña al fuego después de BlueHammer», dijo el investigador. «El fuego durará todo el tiempo que quieras, a menos que lo apagues o hasta que no quede nada que quemar.»

Chaotic Eclipse también prometió una «gran sorpresa» para Microsoft, coincidiendo con el próximo lanzamiento del Patch Tuesday en junio de 2026.

Cuando se le contactó para hacer comentarios, un portavoz de Microsoft había dicho previamente a The Hacker News que «tiene el compromiso del cliente de investigar los problemas de seguridad reportados y actualizar los dispositivos afectados para proteger a los clientes lo antes posible», y que apoya la divulgación coordinada de vulnerabilidades, lo que, según la compañía, «ayuda a garantizar que los problemas se investiguen y aborden cuidadosamente antes de la divulgación pública».

Se descubre un ataque de degradación de BitLocker

El desarrollo se produce cuando la empresa francesa de ciberseguridad Intrinsec detalló un cadena de ataque contra BitLocker que aprovecha una degradación del administrador de arranque al explotar CVE-2025-48804 (puntuación CVSS: 6,8) para evitar la protección de cifrado en sistemas Windows 11 completamente parcheados en menos de cinco minutos.

«El principio es el siguiente: el administrador de arranque carga el archivo de imagen de implementación del sistema (SDI) y el WIM al que hace referencia, y verifica la integridad del WIM legítimo», Intrinsec dicho.

«Sin embargo, cuando se agrega un segundo WIM al SDI con una tabla de blobs modificada, el administrador de arranque verifica el primer WIM (legítimo) mientras arranca simultáneamente desde el segundo (controlado por el atacante). Este segundo WIM contiene una imagen de WinRE infectada con ‘cmd.exe’, que se ejecuta con el volumen BitLocker descifrado».

Ciberseguridad

Si bien las correcciones publicadas por Microsoft en julio de 2025 solucionaron este defecto de seguridad en julio de 2025, el investigador de seguridad Cassius Garat dijo que el problema radica en el hecho de que Secure Boot solo verifica el certificado de firma de un binario, no su versión. Como resultado, se puede utilizar una versión vulnerable de «bootmgfw.efi» que no contiene el parche y está firmada con el certificado PCA 2011 confiable para eludir las salvaguardas de BitLocker.

Vale la pena señalar que Microsoft planea retirar los antiguos certificados PCA 2011 el próximo mes. «Y siempre que no se revoque, incluso un administrador de arranque antiguo y vulnerable se puede cargar sin generar una alerta», señaló Intrinsec. Para llevar a cabo el ataque, un mal actor necesita tener acceso físico a la máquina objetivo.

Para contrarrestar el riesgo, es esencial habilitar una PIN de BitLocker al inicio para autenticación previa al arranque y migrar el administrador de arranque al Certificado CA 2023 y revocar el antiguo certificado PCA 2011.

Microsoft parchea el error crítico de escalada de privilegios CVE-2026-40372 de ASP.NET Core – CYBERDEFENSA.MX
admin Noticias, Trending
Microsoft parchea el error crítico de escalada de privilegios CVE-2026-40372 de ASP.NET Core – CYBERDEFENSA.MX

Microsoft ha lanzado actualizaciones fuera de banda para abordar una vulnerabilidad de seguridad en ASP.NET Core que podría permitir a un atacante escalar privilegios.

La vulnerabilidad, rastreada como CVE-2026-40372tiene una puntuación CVSS de 9,1 sobre 10,0. Está clasificado como Importante en cuanto a gravedad. A un investigador anónimo se le atribuye el mérito de descubrir e informar la falla.

«La verificación inadecuada de la firma criptográfica en ASP.NET Core permite a un atacante no autorizado elevar los privilegios en una red», Microsoft dicho en un aviso del martes. «Un atacante que aprovechara esta vulnerabilidad podría obtener privilegios de SISTEMA».

El gigante tecnológico dijo que un atacante podría aprovechar la vulnerabilidad para revelar archivos y modificar datos, pero enfatizó que una explotación exitosa depende de tres requisitos previos:

  • La aplicación utiliza Microsoft.AspNetCore.DataProtection 10.0.6 de NuGet (ya sea directamente o mediante un paquete que depende de él, como Microsoft.AspNetCore.DataProtection.StackExchangeRedis).
  • La copia NuGet de la biblioteca se cargó en tiempo de ejecución.
  • La aplicación se ejecuta en Linux, macOS u otro sistema operativo que no sea Windows.
Ciberseguridad

La vulnerabilidad ha sido abordada por Microsoft en ASP.NET Core versión 10.0.7.

«Una regresión en los paquetes NuGet Microsoft.AspNetCore.DataProtection 10.0.0-10.0.6 hace que el cifrador autenticado administrado calcule su etiqueta de validación HMAC sobre los bytes incorrectos de la carga útil y luego descarte el hash calculado en algunos casos», Microsoft explicado en sus notas de lanzamiento.

En tales escenarios, un atacante podría falsificar cargas útiles que pasen las comprobaciones de autenticidad de DataProtection, así como descifrar cargas útiles previamente protegidas en cookies de autenticación, tokens antifalsificación y otros.

«Si un atacante utilizó cargas útiles falsificadas para autenticarse como usuario privilegiado durante la ventana vulnerable, es posible que haya inducido a la aplicación a emitir tokens firmados legítimamente (actualización de sesión, clave API, enlace de restablecimiento de contraseña, etc.) para sí mismo», añadió. «Esos tokens siguen siendo válidos después de actualizar a 10.0.7 a menos que se rote el conjunto de claves de DataProtection».

Nueve fallas de CrackArmor en Linux AppArmor permiten la escalada de raíz y evitan el aislamiento de contenedores – CYBERDEFENSA.MX
admin Noticias, Trending
Nueve fallas de CrackArmor en Linux AppArmor permiten la escalada de raíz y evitan el aislamiento de contenedores – CYBERDEFENSA.MX

Los investigadores de ciberseguridad han revelado múltiples vulnerabilidades de seguridad dentro del kernel de Linux. Armadura de aplicaciones módulo que podría ser explotado por usuarios sin privilegios para eludir las protecciones del kernel, escalar a la raíz y socavar las garantías de aislamiento del contenedor.

Las nueve vulnerabilidades confusas de los diputados han recibido un nombre en código colectivo Armadura de grieta por la Unidad de Investigación de Amenazas Qualys (TRU). La empresa de ciberseguridad dijo que el problema existe desde 2017. No se han asignado identificadores CVE a las deficiencias.

AppArmor es un módulo de seguridad de Linux que proporciona control de acceso obligatorio (MAC) y protege el sistema operativo contra amenazas externas o internas al evitar que se exploten fallas conocidas y desconocidas de las aplicaciones. Se ha incluido en el kernel principal de Linux desde la versión 2.6.36.

Ciberseguridad

«Este aviso de ‘CrackArmor’ expone una defecto adjunto confundido permitiendo a usuarios sin privilegios manipular perfiles de seguridad a través de pseudoarchivos, eludir restricciones de espacio de nombres de usuario y ejecutar código arbitrario dentro del kernel», Saeed Abbasi, gerente senior de Qualys TRU, dicho.

«Estas fallas facilitan la escalada de privilegios locales para rootear a través de interacciones complejas con herramientas como Sudo y Postfix, junto con ataques de denegación de servicio a través del agotamiento de la pila y omisiones de Kernel Address Space Layout Randomization (KASLR) a través de lecturas fuera de límites».

Vulnerabilidades confusas del diputado Ocurre cuando un usuario no autorizado obliga a un programa privilegiado a hacer un uso indebido de sus privilegios para realizar acciones maliciosas no deseadas. Básicamente, el problema explota la confianza asociada con una herramienta con más privilegios para ejecutar un comando que conduce a una escalada de privilegios.

Qualys dijo que una entidad que no tiene permisos para realizar una acción puede manipular los perfiles de AppArmor para deshabilitar protecciones de servicios críticos o hacer cumplir políticas de denegación total, desencadenando ataques de denegación de servicio (DoS) en el proceso.

«Combinado con fallas a nivel de kernel inherentes al análisis de perfiles, los atacantes eluden las restricciones del espacio de nombres de usuario y logran una escalada de privilegios locales (LPE) hasta la raíz completa», agregó.

«La manipulación de políticas compromete todo el host, mientras que las omisiones del espacio de nombres facilitan exploits avanzados del kernel, como la divulgación de memoria arbitraria. Las capacidades DoS y LPE resultan en interrupciones del servicio, manipulación de credenciales a través de raíz sin contraseña (por ejemplo, modificación de /etc/passwd) o divulgación de KASLR, lo que permite más cadenas de explotación remota».

Para empeorar las cosas, CrackArmor permite a los usuarios sin privilegios crear espacios de nombres de usuario con todas las capacidades, evitando de manera efectiva los problemas de Ubuntu. restricciones de espacio de nombres de usuario implementado a través de AppArmor, además de subvertir garantías de seguridad críticas como el aislamiento de contenedores, la aplicación de privilegios mínimos y el refuerzo del servicio.

Ciberseguridad

La compañía de ciberseguridad dijo que está reteniendo la publicación de exploits de prueba de concepto (PoC) para las fallas identificadas para darles a los usuarios algo de tiempo para priorizar los parches y minimizar la exposición.

El problema afecta a todos los kernels de Linux desde la versión 4.11 en cualquier distribución que integre AppArmor. Con más de 12,6 millones de instancias empresariales de Linux que funcionan con AppArmor habilitado de forma predeterminada en varias distribuciones importantes, como Ubuntu, Debian y SUSE, se recomienda aplicar parches inmediatos al kernel para mitigar estas vulnerabilidades.

«El parche inmediato del kernel sigue siendo la prioridad no negociable para neutralizar estas vulnerabilidades críticas, ya que la mitigación provisional no ofrece el mismo nivel de garantía de seguridad que restaurar la ruta del código arreglado por el proveedor», señaló Abbasi.