IBM elimina una falla crítica en la ejecución remota de código - Calendae | Informática, Electrónica, CMS, Ciberseguridad

IBM elimina una falla crítica en la ejecución remota de código

Hola, un placer verte por aquí. Te escribe Eduardo Arroyo y hoy te voy a hablar sobre IBM elimina una falla crítica en la ejecución remota de código

IBM elimina una falla crítica en la ejecución remota de código

Una falla de desbordamiento del búfer de gravedad crítica que afecta a IBM Integration Designer podría permitir que atacantes remotos ejecuten código.

IBM ha solucionado un error crítico de desbordamiento del búfer que afecta al conjunto de herramientas Big Blue Integration Designer, que ayuda a las empresas a crear procesos comerciales que integran aplicaciones y datos. Si se explota, la falla podría permitir la ejecución remota de código.

Haga clic para registrarse

El defecto (CVE-2020-27221) tiene una puntuación base CVSS de 9,8 sobre 10, lo que lo hace crítico en términos de gravedad. Es el resultado de un problema en las versiones 7 y 8 de Java Runtime Environment (JRE), que utiliza el conjunto de herramientas de IBM Integration Designer.

JRE es una capa de software que se ejecuta en el sistema operativo (SO) de una computadora y permite que Java se ejecute sin problemas en cualquier sistema, independientemente de su sistema operativo.

La falla es un error de desbordamiento de búfer basado en pila. Esta es una clase de vulnerabilidad en la que la región de memoria de un proceso utilizado para almacenar variables dinámicas (el montón) puede verse abrumada.

«Al enviar una cadena demasiado larga, un atacante remoto podría invadir un búfer y ejecutar código arbitrario en el sistema o hacer que la aplicación se bloquee», según IBM Monday aviso de seguridad.

El error ocurre cuando la máquina virtual (VM) o la interfaz nativa de Java convierte caracteres de UTF-8 a la codificación de la plataforma. Java Native Interface es un marco de programación que permite que el código Java que se ejecuta en una máquina virtual Java llame a aplicaciones nativas y bibliotecas escritas en otros lenguajes.

IBM no proporcionó más información sobre el tipo de privilegios que necesitaría un atacante, donde debería haber enviado la cadena o vector de ataque inicial.

Específicamente, CVE-2020-27221 existe en Eclipse OpenJ9, una implementación de Java VM escalable y de alto rendimiento que es totalmente compatible con JRE.

«Contribuido a la base de Eclipse por IBM, OpenJ9 JVM es la base de IBM SDK, Java Technology Edition, que es un componente central de muchos productos de software de IBM Enterprise». según IBM.

Las versiones de IBM Integration Designer 8.5.7, 19.0.0.2, 20.0.0.1 y 20.0.0.2 se ven afectadas, que utilizan las versiones 7 y 8 de JRE. La vulnerabilidad se informó por primera vez el 16 de diciembre a través del Fundación Eclipse, que es una comunidad global de miembros del desarrollo de software de código abierto Eclipse. Puede encontrar una solución aquí para cada versión afectada por IBM Integration Designer.

Se ha abordado otra vulnerabilidad (CVE-2020-14782), resultante de la implementación del JRE en IBM Integration Designer. Esta vulnerabilidad «no especificada» existía en Java SE y estaba relacionada con el componente Bibliotecas. Sin embargo, según IBM no tuvo «impacto en la confidencialidad, bajo impacto en la integridad y ningún impacto en la disponibilidad».

IBM también corrigió una serie de fallas de alta gravedad en su IBM Planning Analytics Workspace; una interfaz basada en web para IBM Planning Analytics que proporciona una interfaz para crear y analizar contenido. Las fallas existen específicamente en la versión 61 de Local v2.0 para Planning Analytics Workspace.

Hay tres vulnerabilidades en Node.js, un entorno de ejecución de JavaScript multiplataforma de código abierto para el desarrollo de aplicaciones del lado del servidor y del lado de la red, que se utiliza en IBM Planning Analytics. Estos defectos incluyen una vulnerabilidad de denegación de servicio (CVE-2020-8251); un problema técnico con el contrabando de solicitudes HTTP (CVE-2020-8201); y un error de desbordamiento de búfer (CVE-2020-8252).

Otro defectoCVE-2020-25649) existe en FasterXML Jackson Databind, usado para convertir JSON hacia y desde Plain Old Java Object (POJO) usando el descriptor de acceso de propiedad o usando anotaciones.

Según IBM, la falla «puede proporcionar una seguridad más débil de la esperada, causada por la falla de la protección de expansión de la entidad». «Un atacante remoto podría aprovechar esta vulnerabilidad para lanzar ataques a entidades externas XML (XXE) para afectar la integridad de los datos».

IBM emitió anteriormente varias correcciones para las vulnerabilidades, incluidas las de Spectrum Protect Plus en septiembre. Esta es la herramienta de seguridad de Big Blue que se incluye bajo el paraguas de su marca de software de almacenamiento de datos Spectrum. Los atacantes remotos podrían aprovechar las fallas para ejecutar código en sistemas vulnerables.

En agosto, se descubrió una falla de memoria compartida en el software de administración de datos de próxima generación de IBM que, según los investigadores, podría conducir a otras amenazas, como lo demuestra un nuevo exploit de prueba de concepto para el error.

Y en abril, se identificaron cuatro vulnerabilidades de seguridad graves en IBM Data Risk Manager (IDRM) que pueden llevar a la ejecución de código remoto no autenticado (RCE) como raíz en versiones vulnerables, según el análisis, y hay un exploit disponible. Prueba de concepto .

¿Es su pequeña y mediana empresa un objetivo fácil para los atacantes? Guarde su asiento para «,» los ciberdelincuentes cuentan con usted para cometer estos errores, pero nuestros expertos lo ayudarán a bloquear su pequeña y mediana empresa como si fuera una Fortune 100. Regístrese AHORA para este seminario web el miércoles de febrero. 24.

.

Recuerda compartir en una historia de tu Instagram para que tus colegas lo sepan

??? ? ? ???

Comparte