Red Hat JBoss Enterprise Application Platform, es una plataforma open-source de tiempo de ejecución, utilizada para construir, desplegar y alojar aplicaciones y servicios Java desarrollados por la compañía Red Hat.
¿Qué pasó?
Red Hat ha lanzado una actualización de seguridad, en la que se abordan 12 vulnerabilidades que afectan a la plataforma JBoss Enterprise Application versión 7.3 para Red Hat Enterprise Linux 6, 4 de ellas han sido catalogadas de riesgo alto y 8 de riesgo medio. La explotación exitosa de estos fallos permitiría a un atacante ejecutar comandos arbitrarios u obtener información potencialmente útil para realizar otros ataques. A continuación se detallan las vulnerabilidades de riesgo alto:
El CVE-2020-1710, trata de una vulnerabilidad del tipo Improper Neutralization of CRLF Sequences in HTTP Headers; y se da debido a que no se procesa correctamente el nombre del campo de los encabezados HTTP. Esto permite que los espacios en blanco entre el nombre del campo y los dos puntos sean procesados, lo cual da como resultado un código de respuesta HTTP de 200 en lugar de una solicitud incorrecta de 400. La explotación exitosa de este fallo permitiría a un atacante remoto obtener control sobre los encabezados y el cuerpo de la respuesta HTTP enviada por la aplicación, así como crear respuestas completamente bajo su control.
Por otro lado, los CVE-2020-10672 y CVE-2020-10673 tratan de vulnerabilidades del tipo Improper Neutralization of Directives in Statically Saved Code que afectan al paquete FasterXML jackson-databind 2.x en versiones anteriores a la 2.9.10.4; y se dan debido a un mal manejo de la serialización entre los gadgets y la escritura. La explotación exitosa de estos fallos podría permitir a un atacante remoto la ejecución de comandos arbitrarios.
Finalmente, el CVE-2020-10740 trata de una vulnerabilidad del tipo Deserialization of Untrusted Data; y se da debido a una falta de validación en Wildfly Enterprise Java Beans. La explotación exitosa de estos fallos permitiría a un atacante remoto modificar datos de la aplicación o realizar ataques de denegación de servicios (DoS).
Además, fueron abordadas vulnerabilidades de riesgo medio, que afectan a los siguientes componentes:
- Hibernate ORM,
- Undertow,
- Dom4j,
- Wildfly.
Algunas de las más resaltantes, son:
Una vulnerabilidad de denegación de servicios (DoS) en el cliente EJB de Wildfly (CVE-2020-14297). Una vulnerabilidad de inyección SQL en Hibernate ORM (CVE-2019-14900) y una vulnerabilidad del tipo XXE (XML External Entity) en el componente dom4j (CVE-2020-10683) que permitiría a un atacante remoto realizar ataques de denegación de servicios (DoS) y acceder a archivos arbitrarios del sistema.
Recomendaciones:
Actualizar JBoss Enterprise Application Platform a la versión 7.3.2 para RHEL6, desde el aviso de seguridad de Red Hat.
Referencias: