En el resumen de esta semana hablaremos de lo siguiente:
- Centro de datos y servidor de Atlassian Confluence Ejecución remota de código
- Ejecución remota de código de Adobe ColdFusion
- Ejecución remota de código en ssh-agent reenviado por OpenSSH
- AMD "Zenbleed"
CVE-2023-22505 Y CVE-2023-22508: Ejecución remota de código en el servidor y centro de datos de Atlassian Confluence
Fondo
Confluence, desarrollado por la empresa australiana de software Atlassian, es un wiki corporativo basado en web diseñado para la colaboración y el intercambio de conocimientos en las empresas. Lanzado inicialmente en 2004 y desarrollado en Java, Confluence ha evolucionado hasta convertirse en una plataforma versátil que facilita el trabajo en equipo y los procesos de documentación. Con su servidor web Tomcat y su base de datos HSQL incorporados, Confluence Standalone ofrece una solución autónoma que, además, admite otras bases de datos. Atlassian ofrece Confluence como software empresarial, lo que permite a las organizaciones elegir entre una implantación local o un software como servicio.
Vulnerabilidad
Se han identificado dos vulnerabilidades de ejecución remota de código (RCE) de alta gravedad en Confluence Data Center & Server.
La primera vulnerabilidad, conocida como CVE-2023-22505, se introdujo en la versión 8.0.0. Tiene una puntuación CVSS de 8, según la evaluación de Confluence, y permite a un atacante autenticado ejecutar código arbitrario. Esta vulnerabilidad supone un alto riesgo para la confidencialidad, integridad y disponibilidad, lo que la convierte en una preocupación crítica. Además, el atacante puede explotar este fallo sin requerir ninguna interacción del usuario.
La segunda vulnerabilidad, etiquetada como CVE-2023-22508, se introdujo en la versión 6.1.0. Con una puntuación CVSS de 8,5 según la evaluación de Confluence, comparte características similares con la anterior. Un atacante autenticado puede ejecutar código arbitrario sin interacción del usuario con un alto impacto en la confidencialidad, integridad y disponibilidad.
Mitigación
CVE-2023-22505:
- Actualice su instancia a la última versión de Confluence Data Center & Server.
- Si no puede actualizarse a la última versión, actualícese a una de las versiones fijas, concretamente a la 8.3.2 o a la 8.4.0.
CVE-2023-22508:
- Actualice su instancia a una versión de funciones de Confluence igual o superior a 8.2.0 (por ejemplo, 8.2, 8.2, 8.4, etc.).
- Como alternativa, actualice a una versión de corrección de errores de Confluence 7.19 LTS igual o superior a 7.19.8 (por ejemplo, 7.19.8, 7.19.9, 7.19.10, 7.19.11, etc.) o a una versión de corrección de errores de Confluence 7.13 LTS igual o superior a 7.13.20 (versión disponible a principios de agosto).
CVE-2023-38205: Evasión del control de acceso de Adobe ColdFusion
Fondo
Adobe ColdFusion es una versátil plataforma de desarrollo de aplicaciones web basada en Java. Permite a los desarrolladores crear aplicaciones web dinámicas y basadas en datos integrando a la perfección la lógica del lado del servidor y las interacciones con bases de datos en páginas web mediante ColdFusion Markup Language (CFML) mezclado con HTML.
Vulnerabilidad
Esta vulnerabilidad, rastreada como CVE-2023-38205 es una desviación del parche para solucionar una vulnerabilidad parcheada anteriormente, CVE-2023-29298 abordada en el Boletín de Seguridad de Adobe. El parche inicial publicado el 11 de julio de 2023, para CVE-2023-29298, no solucionó con éxito el problema y pudo ser eludido por un atacante. Según Rapid7, la corrección de la vulnerabilidad era correcta al dirigirse a una URL válida, pero podía eludirse proporcionando una URL no válida que eludiría la corrección y permitiría el acceso al punto final esperado sin una ruta URL válida.
Las siguientes versiones de ColdFusion son vulnerables:
- Adobe ColdFusion 2023 Update 2 y versiones anteriores
- Adobe ColdFusion 2021 Update 8 y versiones anteriores
- Adobe ColdFusion 2018 Update 18 y versiones anteriores
Mitigación
Adobe ha publicado un parche para mitigar esta vulnerabilidad el 19 de julio de 2023, en este aviso. Los parches son los siguientes:
- Actualización 3 para ColdFusion 2023
- Actualización 9 para ColdFusion 2021
- Actualización 19 para ColdFusion 2018
CVE-2023-38408: Ejecución remota de código en el agente ssh reenviado de OpenSSH
Fondo
El ssh-agent reenviado de OpenSSH es una funcionalidad que permite a los usuarios reenviar de forma segura su ssh-agent de una máquina a otra durante las conexiones SSH. El ssh-agent gestiona claves privadas para la autenticación de clave pública SSH. Mediante el reenvío del agente, el ssh-agent local del usuario puede utilizarse para autenticar conexiones a máquinas remotas, eliminando la necesidad de almacenar claves privadas en esos sistemas.
Vulnerabilidad
Según el aviso publicado por los investigadores de Qualys, cualquiera que inicie sesión en un host controlado por el atacante mediante el reenvío de ssh-agent puede potencialmente abrirse a la ejecución remota de código por parte del atacante en la máquina (host base) desde la que inició sesión en el host controlado por el atacante.
La vulnerabilidad proviene del manejo que hace el agente OpenSSH de las bibliotecas compartidas reenviadas en el host remoto. Cuando el ssh-agent de un host base se compila con la bandera ENABLE_PKCS11 - que es la por defecto - el host remoto puede cargar (dlopen()) y descargar inmediatamente (dlclose()) cualquier biblioteca compartida en /usr/lib/* del host base. Este comportamiento, sin embargo, no funciona bien con muchas bibliotecas compartidas, que pueden tener efectos secundarios no deseados. Encadenando dichos efectos secundarios, los investigadores podían conseguir la ejecución remota de código en el host base. Sin embargo, el alcance de los investigadores se limitó a Ubuntu Desktop 22.04 y 21.10.
Mitigación
- Utiliza una versión actualizada de la biblioteca OpenSSH: 9.3p2
- La explotación de la vulnerabilidad puede evitarse no utilizando la opción de reenvío ssh-agent para conectarse a los hosts en los que el usuario no confía.
CVE-2023-20593: Fuga de información entre procesos alias "Zenbleed"
El 24 de julio de 2023, AMD reveló una vulnerabilidad de seguridad (CVE-2023-20593) que afectaba a un subconjunto de hosts de computación en nube de Akamai que ejecutaban CPU EPYC "Rome". Encontrará más información en nuestra reciente entrada de blog sobre Zenbleed.
Comentarios