Actualizaciones de seguridad en productos de Microsoft.
09/05/2022
Microsoft ha publicado actualizaciones para corregir un fallo de seguridad que afecta a Azure Synapse y Azure Data Factory, que podría permitir a los atacantes realizar ejecución remota de código (RCE) en toda la infraestructura.
La vulnerabilidad identificada como CVE-2022-29972 sin puntuación asignada aún. Esta vulnerabilidad se debe a un fallo en el conector de datos ODBC de terceros utilizado para conectarse a Amazon Redshift, en Integration Runtime (IR) en Azure Synapse Pipelines y Azure Data Factory. Un atacante autenticado podría explotar esta vulnerabilidad para realizar ejecución remota de código (RCE) en toda la infraestructura.
Las versiones afectadas son:
- Azure Synapse y Azure Data Factory, versiones anteriores a 5.17.8154.2.
Recomendamos seguir los siguientes pasos para mitigar el riesgo asociado:
- Configurar los espacios de trabajo de Synapse con una red virtual administrada que proporcione un mejor aislamiento de red.
- Los clientes que usen Azure Data Factory pueden habilitar los tiempos de ejecución de integración de Azure con una red virtual administrada.
Adicionalmente, recomendamos instalar las actualizaciones correspondientes que serán provistas por el fabricante:
Referencias:
- https://www.bleepingcomputer.com/news/security/microsoft-releases-fixes-for-azure-flaw-allowing-rce-attacks/
- https://nvd.nist.gov/vuln/detail/CVE-2022-29972
- https://www.microsoft.com/en-us/download/details.aspx?id=39717