No resumo desta semana, discutiremos o seguinte:
- Execução remota de código do Atlassian Confluence Data Center & Server
- Execução de código remoto do Adobe ColdFusion
- Execução remota de código do ssh-agent encaminhado pelo OpenSSH
- AMD "Zenbleed"
CVE-2023-22505 E CVE-2023-22508: Execução remota de código no Atlassian Confluence Data Center e no servidor
Antecedentes
O Confluence, desenvolvido pela empresa de software australiana Atlassian, é um wiki corporativo baseado na Web, projetado para colaboração e compartilhamento de conhecimento dentro das empresas. Inicialmente lançado em 2004 e desenvolvido em Java, o Confluence evoluiu para uma plataforma versátil que facilita o trabalho em equipe e os processos de documentação. Com o servidor da Web Tomcat e o banco de dados HSQL integrados, o Confluence Standalone oferece uma solução independente, além de acomodar vários outros bancos de dados. A Atlassian oferece o Confluence como software empresarial, permitindo que as organizações escolham entre a implantação no local ou um software como serviço.
Vulnerabilidade
Duas vulnerabilidades de alta gravidade de execução remota de código (RCE) foram identificadas no Confluence Data Center & Server.
A primeira vulnerabilidade, conhecida como CVE-2023-22505, foi introduzida na versão 8.0.0. Ela possui uma pontuação CVSS de 8, de acordo com a avaliação do Confluence, permitindo que um invasor autenticado execute um código arbitrário. Essa vulnerabilidade representa um alto risco para a confidencialidade, integridade e disponibilidade, o que a torna uma preocupação crítica. Além disso, o invasor pode explorar essa falha sem exigir nenhuma interação do usuário.
A segunda vulnerabilidade, denominada CVE-2023-22508, foi introduzida na versão 6.1.0. Com uma pontuação CVSS de 8,5, de acordo com a avaliação do Confluence, ela compartilha características semelhantes às da anterior. Um invasor autenticado pode executar códigos arbitrários sem a interação do usuário, com alto impacto sobre a confidencialidade, a integridade e a disponibilidade.
Mitigação
CVE-2023-22505:
- Atualize sua instância para a versão mais recente do Confluence Data Center & Server.
- Se não for possível atualizar para a versão mais recente, atualize para uma das versões fixas, especificamente 8.3.2 ou 8.4.0.
CVE-2023-22508:
- Atualize sua instância para uma versão de recursos do Confluence igual ou superior à 8.2.0 (por exemplo, 8.2, 8.2, 8.4 etc.).
- Como alternativa, atualize para uma versão de correção de bugs do Confluence 7.19 LTS igual ou superior à 7.19.8 (por exemplo, 7.19.8, 7.19.9, 7.19.10, 7.19.11 etc.) ou para uma versão de correção de bugs do Confluence 7.13 LTS igual ou superior à 7.13.20 (versão disponível no início de agosto).
CVE-2023-38205: Contorno do controle de acesso do Adobe ColdFusion
Antecedentes
O Adobe ColdFusion é uma plataforma versátil de desenvolvimento de aplicativos da Web baseada em Java. Ele permite que os desenvolvedores criem aplicativos da Web dinâmicos e orientados por dados, integrando perfeitamente a lógica do lado do servidor e as interações do banco de dados em páginas da Web usando a ColdFusion Markup Language (CFML) combinada com HTML.
Vulnerabilidade
Essa vulnerabilidade, rastreada como CVE-2023-38205, é um desvio de correção para corrigir uma vulnerabilidade previamente corrigida, CVE-2023-29298, abordada no Boletim de Segurança da Adobe. A correção inicial lançada em 11 de julho de 2023 para a CVE-2023-29298 não corrigiu o problema e pode ser contornada por um invasor. De acordo com a Rapid7, a correção para a vulnerabilidade estava correta no endereçamento de um URL válido, mas ainda poderia ser contornada pelo fornecimento de um URL inválido, que ainda contornaria a correção e permitiria o acesso ao endpoint esperado sem um caminho de URL válido.
As seguintes versões do ColdFusion estão vulneráveis:
- Adobe ColdFusion 2023 Update 2 e versões anteriores
- Adobe ColdFusion 2021 Update 8 e versões anteriores
- Adobe ColdFusion 2018 Update 18 e versões anteriores
Mitigação
A Adobe lançou um patch para mitigar essa vulnerabilidade em 19 de julho de 2023, neste aviso. Os patches são os seguintes:
- Atualização 3 para o ColdFusion 2023
- Atualização 9 para ColdFusion 2021
- Atualização 19 para ColdFusion 2018
CVE-2023-38408: Execução remota de código no ssh-agent encaminhado do OpenSSH
Antecedentes
O ssh-agent encaminhado do OpenSSH é uma funcionalidade que permite aos usuários encaminhar com segurança seu ssh-agent de uma máquina para outra durante as conexões SSH. O ssh-agent gerencia chaves privadas para autenticação de chave pública SSH. Por meio do encaminhamento de agentes, o ssh-agent local do usuário pode ser utilizado para autenticar conexões com computadores remotos, eliminando a necessidade de armazenar chaves privadas nesses sistemas.
Vulnerabilidade
De acordo com o aviso publicado por pesquisadores da Qualys, qualquer pessoa que se conecte a um host controlado pelo invasor usando o encaminhamento de agente ssh pode, potencialmente, abrir-se para a execução remota de código pelo invasor na máquina (host base) a partir da qual se conectou ao host controlado pelo invasor.
A vulnerabilidade decorre do tratamento do agente OpenSSH das bibliotecas compartilhadas encaminhadas no host remoto. Quando o ssh-agent de um host base é compilado com o sinalizador ENABLE_PKCS11 - que é o padrão - o host remoto pode carregar (dlopen()) e descarregar imediatamente (dlclose()) qualquer biblioteca compartilhada em /usr/lib/* do host base. Esse comportamento, no entanto, não funciona bem com muitas bibliotecas compartilhadas, que podem ter efeitos colaterais não intencionais. Ao encadear esses efeitos colaterais, os pesquisadores poderiam obter a execução remota de código no host base. No entanto, o escopo dos pesquisadores foi limitado ao Ubuntu Desktop 22.04 e 21.10.
Mitigação
- Use uma versão atualizada da biblioteca OpenSSH: 9.3p2
- A exploração da vulnerabilidade pode ser evitada ao não usar a opção de encaminhamento ssh-agent para se conectar aos hosts que não são confiáveis para o usuário.
CVE-2023-20593: Vazamento de informações entre processos, também conhecido como "Zenbleed"
Em 24 de julho de 2023, a AMD divulgou uma vulnerabilidade de segurança (CVE-2023-20593) que afetou um subconjunto de hosts de computação em nuvem da Akamai que executam CPUs EPYC "Rome". Encontre mais informações em nossa recente postagem no blog sobre o Zenbleed.
Comentários