Firefox 0-day CVE-2019-17026: Qué puede hacer para prepararse y solucionar el problema
El día January 8, 2020 , Mozilla anunció una actualización crítica para corregir una vulnerabilidad que podía ser objeto de ataques y que se había detectado en ordenadores de usuarios reales. Firefox ha lanzado una actualización (versión 72.0.1) para solucionar la vulnerabilidad; sin embargo, las versiones anteriores siguen estando en riesgo. Para obtener más información, consulte , y el boletín de Mozilla.
Los usuarios de Tanium pueden detectar y corregir rápidamente esta vulnerabilidad a escala empresarial; en el siguiente artículo se muestran algunos ejemplos habituales utilizando soluciones listas para usar.
Con Tanium Interact, identifique rápidamente los terminales vulnerables
La visibilidad en tiempo real de Tanium ofrece a los clientes la visión más actualizada y precisa de su entorno. Se puede utilizar la siguiente consulta de Interact para buscar rápidamente los puntos finales en línea afectados por la vulnerabilidad:
Instalaciones vulnerables de Mozilla Firefox:
Obtenga las aplicaciones instaladas cuyo nombre contenga «Mozilla Firefox» en todos los equipos en los que (la versión de la aplicación instalada [Mozilla Firefox] sea inferior a 72.0.1 y el nombre de la aplicación instalada coincida con «^Mozilla Firefox(?!.ESR.).*$” )
Instalaciones vulnerables de Mozilla Firefox ESR:
Obtenga las aplicaciones instaladas cuyo nombre contenga «Mozilla Firefox» en todos los equipos en los que (la versión de la aplicación instalada [Mozilla Firefox] sea inferior a 68.4.1 y el nombre de la aplicación instalada coincida con «^Mozilla Firefox.ESR.$») )
Para informar sobre los activos que puedan estar fuera de línea, puede utilizar Tanium Asset o bien guardar una pregunta y enviarla periódicamente. Para obtener más información, consulte este artículo de Tanium , esta publicación de la comunidad de Tanium y este enlace:
Cree fácilmente informes completos y detallados con Asset
Tanium Asset ofrece informes sobre datos exhaustivos de los terminales e incluye datos tanto de los hosts conectados a Internet como de los que no lo están. Para generar un informe sobre esta vulnerabilidad mediante Asset, añada «Aplicaciones instaladas» como atributo simple en Asset y cree un informe personalizado para mostrar la versión. De este modo, podrá informar sobre las versiones vulnerables de Firefox que haya en su entorno.
Para obtener más información sobre la elaboración de informes mediante Asset, consulte , y.
Para obtener información sobre cómo crear un informe en Asset, consulte , y.
Utilice Tanium Comply para identificar las instancias vulnerables de Firefox
Una vez que un CVE se publica oficialmente en el Centro de Información sobre Vulnerabilidades ( ) y en la Base de Datos Nacional de Vulnerabilidades (National Vulnerability Database), la Biblioteca de Vulnerabilidades de Tanium (TVL), utilizada por Comply, se actualiza automáticamente con las comprobaciones pertinentes para identificar la información sobre la exposición y las medidas correctivas necesarias para resolver el problema. Se detecta mediante la ejecución de un análisis de vulnerabilidades estándar en el servicio Comply.
NOTA: A fecha de January 9,/2020, los CVE a los que se hace referencia siguen con el estado «Reservado» y aún no han sido revisados ni publicados oficialmente en la NVD.
Para obtener más información sobre cómo crear un informe basado en una vulnerabilidad o en un CVE concreto, consulte aquí:.
Utilice Tanium Threat Response para identificar e investigar los terminales que han sido objeto de ataques
Siempre que existe una vulnerabilidad que pueda ser explotada, es necesario localizar los equipos afectados e investigar cualquier hallazgo. A continuación se ofrecen algunos ejemplos de cómo los usuarios pueden buscar sistemas que puedan haber sido objeto de un ataque:
- Origen de procesos sospechosos: Tanium puede enviar alertas en tiempo real o realizar búsquedas históricas de procesos sospechosos generados a partir de firefox.exe.
- Análisis de la memoria del proceso: Tanium puede mostrar una lista de las DLL cargadas, identificar subprocesos inyectados, enumerar mutex sospechosos y enumerar otros artefactos presentes en la memoria para ayudar a determinar si se ha producido una intrusión.
- Mecanismos de persistencia: Una actividad habitual tras la explotación consiste en establecer una presencia persistente en un sistema. Tanium puede identificar todos los mecanismos de persistencia presentes en un entorno para detectar entradas anómalas.
- Tanium Signals: Las fuentes de inteligencia sobre amenazas de Tanium, denominadas «Tanium Signals», están diseñadas para identificar actividades iniciales o posteriores que puedan indicar una violación de la seguridad. Las señales permiten supervisar en tiempo real los comportamientos de ataque que se corresponden con el marco MITRE ATT&CK.
Responda con Tanium
Los usuarios de Tanium pueden prevenir infecciones o subsanar los problemas de los equipos vulnerables. A continuación le indicamos algunas de las medidas que podría considerar para hacer frente a esta vulnerabilidad:
- Actualice con Tanium Deploy. Utilice Tanium Deploy para gestionar Firefox y actualizarlo a la última versión disponible para los sistemas operativos Windows. Deploy dispone de una galería en la que se puede encontrar Firefox preconfigurado para su instalación, actualización o desinstalación.
- Actualice con Core. Con Tanium Core, puede crear un paquete personalizado para distribuir el software actualizado a sus terminales vulnerables. Para obtener más información sobre cómo crear un paquete personalizado, visite , o haga clic aquí:.
- Ponga en cuarentena los sistemas infectados. Si se sospecha que uno o varios sistemas han sido comprometidos, considere la posibilidad de ponerlos en cuarentena hasta que se haya solucionado el problema. Puede encontrar más información sobre cómo poner un sistema en cuarentena aquí:. Puede encontrar información sobre la cuarentena de red en , y aquí:.
- Bloquee las versiones vulnerables con Tanium Protect. Tanium Protect permite bloquear o avisar de que no se ejecuten las versiones vulnerables de Firefox hasta que se haya solucionado el problema.
- Elimine las versiones vulnerables mediante Core. Se puede configurar Tanium para que ejecute periódicamente una acción de «Eliminar proceso» en los equipos que ejecuten versiones vulnerables de Firefox.
Por su propia naturaleza, las vulnerabilidades de «día cero» suelen surgir cuando la información disponible es limitada; seguiremos actualizando esta entrada si se dispone de información adicional pertinente. Si tiene alguna pregunta, póngase en contacto con su gestor técnico de cuentas.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
