Linode Security Digest 24-31 de julio de 2022

Esta semana, cubriremos las vulnerabilidades recientemente descubiertas en OpenJDK, una vulnerabilidad de desbordamiento de heap en Redis, y una ejecución arbitraria de código PHP en el núcleo de Drupal.

Vulnerabilidades de OpenJDK

OpenJDK publicó la semana pasada un aviso de seguridad con cuatro vulnerabilidades. 

CVE-2022-21541 es una vulnerabilidad difícil de explotar en el componente hotspot/runtime que permite a los atacantes no autentificados con acceso a la red a través de múltiples protocolos comprometer a Java, lo que podría llevar a la creación no autorizada, la eliminación o el acceso a la modificación de datos críticos o todos los datos accesibles de openjdk. 

CVE-2022-21540 existe en el componente hotspot/compilador y es un defecto fácilmente explotable que permite a atacantes no autentificados con acceso a la red a través de múltiples protocolos, lo que resulta en un acceso de lectura no autorizado a un subconjunto de datos accesibles de openjdk. Este cve sólo tiene un bajo impacto en la confidencialidad de los datos.

CVE-2022-21549 en el componente core-libs/java.util puede dar lugar a un acceso no autorizado de actualización, inserción o eliminación de algunos datos accesibles de openjdk.

Nota: Las tres vulnerabilidades se aplican a las implantaciones de Java -típicamente en clientes que ejecutan aplicaciones Java Web Start con caja de arena o applets Java con caja de arena- que cargan y ejecutan código que no es de confianza (por ejemplo, código que viene de Internet) y dependen de la caja de arena de Java para la seguridad. Esta vulnerabilidad también puede ser explotada mediante el uso de APIs en el componente especificado, por ejemplo, a través de un servicio web que suministra datos a las APIs. 

CVE-2022-34169 es un problema de truncamiento de enteros en Apache Xalan Java XSLT library. Esto puede ser utilizado para corromper los archivos de clase Java generados por el compilador interno XSLTC y ejecutar bytecode Java arbitrario.

Desbordamiento de Heap en Redis

A menudo se hace referencia a Redis como un servidor de estructuras de datos. Lo que esto significa es que Redis proporciona acceso a estructuras de datos mutables a través de un conjunto de comandos, que se envían utilizando un modelo servidor-cliente con sockets TCP y un protocolo simple. Así, diferentes procesos pueden consultar y modificar las mismas estructuras de datos de forma compartida.

Existe una condición de desbordamiento de la pila que puede ser desencadenada por una escritura fuera de límites a través de un comando especialmente diseñado XAUTOCLAIM en una clave de flujo en un estado específico y potencialmente conducir a la ejecución remota de código. CVE-2022-31144 afecta a las versiones de Redis 7.0.0 o posteriores. El problema se ha solucionado en la versión 7.0.4 de Redis.

Drupal Core - Vulnerabilidad de ejecución de código PHP arbitrario

Drupal ha publicado cuatro avisos que describen cuatro tipos de vulnerabilidades. Una de ellas ha sido calificada como "crítica" y las otras tres como "moderadamente crítica". La vulnerabilidad "crítica", rastreada como CVE-2022-25277, afecta a Drupal 9.3 y 9.4. El problema afecta al núcleo de Drupal y puede conducir a la ejecución arbitraria de código PHP en los servidores web Apache mediante la carga de archivos especialmente diseñados.

Los tres restantes son moderadamente críticos según Drupal.

CVE-2022-25276 podría dar lugar a secuencias de comandos en sitios cruzados, cookies filtradas u otras vulnerabilidades porque la ruta de iframe Media oEmbed no valida correctamente la configuración del dominio de iframe, lo que permite que los embeds se muestren en el contexto del dominio principal.

En determinadas circunstancias, la API de formularios del núcleo de Drupal evalúa incorrectamente el acceso a los elementos del formulario. CVE-2022-25278 podría dar lugar a que un usuario pueda alterar datos a los que no debería tener acceso.

CVE-2022-25275 surge en algunas situaciones en las que el módulo Image no comprueba correctamente el acceso a archivos de imagen no almacenados en el directorio de archivos públicos estándar cuando se generan imágenes derivadas utilizando el sistema de estilos de imagen.

Actualice a Drupal 9.4.3 o 9.3.19 para aplicar los parches para estas vulnerabilidades. Nota: Todas las versiones de Drupal 9 anteriores a la 9.3.x están al final de su vida útil y no reciben cobertura de seguridad y Drupal 8 ha llegado al final de su vida útil. El núcleo de Drupal 7 no está afectado.