Telefónica Empresas

PLAN DE TRABAJO:
Actualización Consola ePO

1.- Actualización de Consola ePO

Cliente Fresenius Kabi – Laboratorios Anderson
Referencia Actualización de Consola ePO
Fecha/Hora Por definir

Persona que presenta cambio

Nombre Alexis Morales
Cargo Technical Expert
Dependencia San Martín 50
Fono +56 9 94040678
Correo Alexis.morales@telefonica.com
Personal a quien se presenta cambio
Nombre
Empresa
Cargo
Fono
Correo
Objetivo

Contexto y Objetivo

Vulnerabilidades del código de McAfee Enterprise:

CVE-2021-31834
Vulnerabilidad de secuencia de comandos entre sitios almacenados en McAfee ePolicy Orchestrator (ePO) anterior a la 5.10
Actualización 11 permite a los administradores de ePO inyectar secuencias de comandos web arbitrarias o HTML a través de varios
parámetros donde las entradas del administrador no se desinfectaron correctamente.

La vulnerabilidad CVE-2021-31835
Cross-Site Scripting en McAfee ePolicy Orchestrator (ePO) anterior a 5.10 Update 11 permite a los administradores de ePO inyectar
secuencias de comandos web arbitrarias o HTML a través de un parámetro específico donde las entradas del administrador no se
desinfectaron correctamente.

Para explotar esto, el atacante:

• Necesitan conocer un comando registrado existente en el sistema de ePO al que puedan pasar parámetros, lo que
desencadena la vulnerabilidad Cross-Site Scripting.
• Agregue un nuevo comando registrado al sistema de ePO que no desinfecte los parámetros. Agregar un nuevo comando al
sistema de ePO requiere privilegios de administrador y deben estar conectados al sistema de ePO local, no a través de la
interfaz de usuario. Esto podría ser aprovechado por otro usuario de ePO. La ejecución de estos comandos no se concede
de forma predeterminada a los usuarios de ePO que no son administradores.

Versión Actual Versión Intermedia Versión Upgrade

5.9.X 5.10

5.10 5.10 Update 11

Prohibida su reproducción y/o distribución total y/o parcial sin la autorización expresa de Telefónica Empresas
 Telefónica Empresas

PLAN DE TRABAJO:
Actualización Consola ePO

Versiones validadas con compatibilidad.

• McAfee ePO 5.9.X

Ventanas de trabajo
Para esta actividad se solicitará una ventana de trabajo, ventana por definir con cliente.

Equipos a intervenir
Servidor ePO

Resultados esperado
Instalación fresca de Servidor ePO 5.10, importación de política y mover agentes a este nuevo servidor.
Instalación fresca de Servidor ePO 5.10 upgrade 11

Personas que realizarán el trabajo

Nombre Alexis Morales

Cargo Technical Expert
Dependencia San Martín 50
Fono +56 9 48621194
Correo Alexis.morales@telefonica.com

Nombre
Cargo
Dependencia
Fono
Correo

Responsable Global
Nombre Nicolas Riveros
Cargo Team Leader Seguridad Gestionada SOC
Dependencia SOC
Fono +56 9 9313 7310
Correo Nicolas.riveros@telefonica.com

Prohibida su reproducción y/o distribución total y/o parcial sin la autorización expresa de Telefónica Empresas
 Telefónica Empresas

PLAN DE TRABAJO:
Actualización Consola ePO

Tareas a realizar y tiempo estimado

Actualización de Consola ePO

ID Fecha Horario Actividades

Realizar Backup ePO actual 5.9.x

1 Por definir Por definir
Tiempo 30 minutos / No existe tiempo de indisponibilidad

Instalacion fresca ePO 5.10 en Servidor nuevo

2 Por definir Por definir
Tiempo 180 minutos / No existe tiempo de indisponibilidad

Importación de políticas y configuraciones en nuevo Servidor ePO

3 Por definir Por definir
Tiempo 60 minutos / No existe tiempo de indisponibilidad

Mover agentes desde servidor ePO actual al nuevo y validar funcionamiento

4 Por definir Por definir
Tiempo 60 minutos / No existe tiempo de indisponibilidad

Instalacion fresca ePO 5.10 upgrade 11 en Servidor nuevo

5 Por definir Por definir
Tiempo 180 minutos / No existe tiempo de indisponibilidad

Tiempo de trabajo:

Ventana de trabajo El tiempo de trabajo en ePO es de 5 horas aproximadamente.

Tiempo de indisponibilidad No existe tiempo de indisponibilidad.
Documento Adicional N/A

Prohibida su reproducción y/o distribución total y/o parcial sin la autorización expresa de Telefónica Empresas
 Telefónica Empresas

PLAN DE TRABAJO:
Actualización Consola ePO

Requerimiento a cliente:
Para el óptimo desarrollo de estas actividades se precisa gestión por parte de cliente para obtener lo siguiente:

Requerimientos
1
2

Evaluación de Riesgo de Actividad

El proceso de Evaluación de riesgo de las actividades involucradas en el presente plan de trabajo,

contempla la clasificación de impacto y probabilidad de ocurrencia de acuerdo a los siguientes
grados.

Grados de Impactos:

Grado (I) Nivel de Impacto Definición

3 Grave Mayor a 70 minutos

2 Medio De 11- 69 minutos

1 Leve De 10 minutos

0 No hay impacto 0 minutos

Grados de Probabilidad de Ocurrencia

Grado (0) Nivel de Ocurrencia Definición

3 Alta Altamente Posible

Prohibida su reproducción y/o distribución total y/o parcial sin la autorización expresa de Telefónica Empresas
 Telefónica Empresas

PLAN DE TRABAJO:
Actualización Consola ePO

2 Medio Posible
1 Bajo Poco Posible

Grados de Severidad

Grado (S) Nivel de Severidad Valor

Bajo Medidas Mínimas 1-2

Medidas
Medio 3-8
Preventivas
Acciones
Alto 9
Inmediatas

Los grados de severidad, que resumen La evaluación o ponderación del riesgo, se obtienen con
la multiplicación de grado de probabilidad vs el impacto que tiene la actividad o plan.

A continuación, el análisis de riesgo asociado a la actividad:

Identificación y Evaluación del Riesgo

GRADO
Actividad Riesgo SEVERIDAD
IMPACTO PROBABILIDAD
Actualización Software ePO a versión Errores en la instalación
1 1 1 1
5.10 de versión

Estrategia de Mitigación al Riesgo (Medidas de Mitigación para disminuir la probabilidad y/o el

impacto del riesgo).

PLAN DE ACCIÓN RESPONSABLE

1 Escalamiento a la marca Cliente

Prohibida su reproducción y/o distribución total y/o parcial sin la autorización expresa de Telefónica Empresas
 Telefónica Empresas

PLAN DE TRABAJO:
Actualización Consola ePO

Rollback
ID Fecha Horario Actividades

1 Por definir Por definir Al estar trabajando en un servidor en paralelo, no existe riesgo operacional, por ende
no es necesario aplicar un Plan de Rollback

Prohibida su reproducción y/o distribución total y/o parcial sin la autorización expresa de Telefónica Empresas