No resumo desta semana, discutiremos o seguinte:
- Execução de código remoto do Atlassian Confluence Data Center & Server
- Execução de código remoto do Adobe ColdFusion
- Execução de código remoto do ssh-agent encaminhado pelo OpenSSH
- AMD "Zenbleed"
CVE-2023-22505 & CVE-2023-22508: Execução remota de código do Atlassian Confluence Data Center & Server
Antecedentes
O Confluence, desenvolvido pela empresa de software australiana Atlassian, é um wiki empresarial baseado na Web, concebido para a colaboração e a partilha de conhecimentos nas empresas. Inicialmente lançado em 2004 e construído em Java, o Confluence evoluiu para uma plataforma versátil que facilita o trabalho em equipa e os processos de documentação. Com o seu servidor Web Tomcat integrado e a base de dados HSQL, o Confluence Standalone oferece uma solução autónoma, ao mesmo tempo que acomoda várias outras bases de dados. A Atlassian oferece o Confluence como software empresarial, permitindo que as organizações escolham entre a implementação no local ou um software como serviço.
Vulnerabilidade
Foram identificadas duas vulnerabilidades de alta gravidade de Execução Remota de Código (RCE) no Confluence Data Center & Server.
A primeira vulnerabilidade, conhecida como CVE-2023-22505, foi introduzida na versão 8.0.0. Tem uma pontuação CVSS de 8, de acordo com a avaliação da Confluence, permitindo que um atacante autenticado execute código arbitrário. Esta vulnerabilidade representa um risco elevado para a confidencialidade, integridade e disponibilidade, tornando-a numa preocupação crítica. Além disso, o atacante pode explorar esta falha sem necessitar de qualquer interação do utilizador.
A segunda vulnerabilidade, identificada como CVE-2023-22508, foi introduzida na versão 6.1.0. Com uma pontuação CVSS de 8,5, de acordo com a avaliação da Confluence, partilha características semelhantes às da anterior. Um atacante autenticado pode executar código arbitrário sem interação do utilizador, com um impacto elevado na confidencialidade, integridade e disponibilidade.
Mitigação
CVE-2023-22505:
- Atualize sua instância para a versão mais recente do Confluence Data Center & Server.
- Se não for possível atualizar para a versão mais recente, actualize para uma das versões fixas, especificamente 8.3.2 ou 8.4.0.
CVE-2023-22508:
- Atualize sua instância para uma versão de recurso do Confluence igual ou superior a 8.2.0 (por exemplo, 8.2, 8.2, 8.4, etc.).
- Como alternativa, atualize para uma versão de correção de erros do Confluence 7.19 LTS igual ou superior à 7.19.8 (por exemplo, 7.19.8, 7.19.9, 7.19.10, 7.19.11, etc.) ou uma versão de correção de erros do Confluence 7.13 LTS igual ou superior à 7.13.20 (versão disponível no início de agosto).
CVE-2023-38205: Contorno do controlo de acesso ao Adobe ColdFusion
Antecedentes
O Adobe ColdFusion é uma plataforma versátil de desenvolvimento de aplicações Web baseada em Java. Permite aos programadores criar aplicações Web dinâmicas e baseadas em dados, integrando perfeitamente a lógica do lado do servidor e as interacções da base de dados em páginas Web, utilizando a ColdFusion Markup Language (CFML) misturada com HTML.
Vulnerabilidade
Esta vulnerabilidade, registada como CVE-2023-38205, é um desvio de correção de uma vulnerabilidade anteriormente corrigida, CVE-2023-29298, abordada no Boletim de Segurança da Adobe. A correção inicial lançada em 11 de julho de 2023, para a CVE-2023-29298, não corrigiu com êxito o problema e pode ser contornada por um atacante. De acordo com a Rapid7, a correção para a vulnerabilidade estava correcta ao abordar um URL válido, mas podia ainda ser contornada fornecendo um URL inválido que contornaria a correção e permitiria o acesso ao ponto final esperado sem um caminho de URL válido.
As seguintes versões do ColdFusion são vulneráveis:
- Adobe ColdFusion 2023 Atualização 2 e versões anteriores
- Adobe ColdFusion 2021 Atualização 8 e versões anteriores
- Adobe ColdFusion 2018 Atualização 18 e versões anteriores
Mitigação
A Adobe lançou uma correção para mitigar esta vulnerabilidade em 19 de julho de 2023, neste aviso. Os patches são os seguintes:
- Atualização 3 para ColdFusion 2023
- Atualização 9 para ColdFusion 2021
- Atualização 19 para ColdFusion 2018
CVE-2023-38408: Execução remota de código no ssh-agent encaminhado do OpenSSH
Antecedentes
O ssh-agent reencaminhado do OpenSSH é uma funcionalidade que permite aos utilizadores reencaminharem de forma segura o seu ssh-agent de uma máquina para outra durante as ligações SSH. O ssh-agent gere chaves privadas para autenticação de chave pública SSH. Através do reencaminhamento do agente, o agente ssh local do utilizador pode ser utilizado para autenticar ligações a máquinas remotas, eliminando a necessidade de armazenar chaves privadas nesses sistemas.
Vulnerabilidade
De acordo com o aviso publicado por investigadores da Qualys, qualquer pessoa que inicie sessão num anfitrião controlado por um atacante utilizando o reencaminhamento de agentes ssh pode potencialmente abrir-se à execução remota de código pelo atacante na máquina (anfitrião de base) a partir da qual iniciou sessão no anfitrião controlado pelo atacante.
A vulnerabilidade resulta do tratamento pelo agente OpenSSH das bibliotecas partilhadas reencaminhadas no anfitrião remoto. Quando o ssh-agent de um host base é compilado com a flag ENABLE_PKCS11 - que é o padrão - o host remoto pode carregar (dlopen()) e imediatamente descarregar (dlclose()) qualquer biblioteca compartilhada em /usr/lib/* do host base. Este comportamento, no entanto, não funciona bem com muitas bibliotecas partilhadas, que podem ter efeitos secundários não intencionais. Ao encadear esses efeitos secundários, os investigadores poderiam obter a execução remota de código no anfitrião de base. No entanto, o âmbito dos investigadores limitou-se a Ubuntu Desktop 22.04 e 21.10.
Mitigação
- Utiliza uma versão actualizada da biblioteca OpenSSH: 9.3p2
- A exploração da vulnerabilidade pode ser evitada se não se utilizar a opção de reencaminhamento ssh-agent para ligar aos anfitriões em que o utilizador não confia.
CVE-2023-20593: Fuga de informação entre processos, também conhecida como "Zenbleed"
Em 24 de julho de 2023, a AMD divulgou uma vulnerabilidade de segurança (CVE-2023-20593) que afetou um subconjunto de hosts de computação em nuvem da Akamai que executam CPUs EPYC "Rome". Para mais informações, consulte a nossa recente publicação no blogue sobre o Zenbleed.
Comentários