Inicio / Content / Boletín de INCIBE-CERT del 12-11-2018

Boletín de INCIBE-CERT del 12-11-2018

Vulnerabilidad de escalada de privilegios en IBM MQ

Fecha de publicación: 
12/11/2018
Importancia: 
4 - Alta
Recursos afectados: 
  • IBM MQ V8 versiones desde 8.0.0.0 hasta 8.0.0.10
  • IBM MQ V9 LTS versiones desde 9.0.0.0 hasta 9.0.0.5
  • IBM MQ V9 CD versiones desde 9.0.1 hasta 9.0.5
  • IBM MQ V9.1 LTS versión 9.1.0.0
Descripción: 

Una vulnerabilidad en IBM MQ podría permitir a un usuario local inyectar código y ejecutarse con privilegios de root.

Solución: 
Detalle: 
  • Un problema dentro de las librerías de IBM MQ podría permitir que un atacante (con acceso a una máquina local) utilice IBM MQ para escalar sus privilegios en ese sistema y obtener acceso al usuario root. Se ha reservado el identificador CVE-2018-1792 para esta vulnerabilidad.

Encuesta valoración

Vulnerabilidad de desbordamiento de búfer en VirtualBox

Fecha de publicación: 
12/11/2018
Importancia: 
4 - Alta
Recursos afectados: 
  • VirtualBox versión 5.2.20 y anteriores.

La configuración de red debe ser Intel PRO/1000 MT Desktop (82540EM) en modo NAT, configuración que trae por defecto VirtualBox.

Descripción: 

El investigador ruso Sergey Zelenyuk ha reportado una vulnerabilidad 0-day en VirtualBox de desbordamiento de búfer (buffer overflow).

Solución: 

Por el momento no existen parches que solucionen esta vulnerabilidad, es recomendable cambiar la configuración que VirtualBox trae por defecto, en el apartado red, a PCnet o a red paravirtualizada. En caso de que no sea posible cambiar esta configuración, se debe cambiar el modo NAT por otro, pero la primera opción es la más segura.

Detalle: 

Debido a la configuración E1000, un potencial atacante mediante el envío de una cadena de descriptores Tx específicos, podría conseguir un desbordamiento de búfer (conocido como buffer overflow), dando como resultado:

  • Lectura de datos desde el invitado en un búfer de almacenamiento dinámico.
  • Copia de datos de una longitud específica al búfer sin ninguna verificación.

Además, el exploit utilizado por Zelenyuk hace uso del LKM para cargar un sistema operativo invitado. Como se requiere escalada de privilegios para conseguir cargar el controlador en ambos sistemas, se usan de cadenas de explotación ya publicadas. Estas cadenas explotan un navegador que abre un sitio web malicioso en el sistema operativo invitado, el cual consigue escapar de la sandbox para obtener acceso total al anillo 3 (nivel de aplicación). Finalmente, y gracias a vulnerabilidades conocidas, se consigue la escalada de privilegios para acceder al anillo 0 (nivel de kernel) donde está todo lo necesario para atacar a un hipervisor desde el sistema operativo invitado.

Encuesta valoración

Vulnerabilidades en ESXi, Workstation y Fusion de VMware

Fecha de publicación: 
12/11/2018
Importancia: 
5 - Crítica
Recursos afectados: 
  • VMware vSphere ESXi versiones 6.7, 6.5 y 6.0
  • VMware Workstation Pro / Player versiones 15.x y 14.x
  • VMware Fusion Pro, Fusion versiones 11.x y 10.x
Descripción: 

Se han publicado varias vulnerabilidades de uso de memoria apilada no inicializada en VMware ESXi, Workstation y Fusion que podrían permitir ejecutar código en el host o dar lugar a una fuga de información entre el anfitrión y el invitado.

Solución: 

Reemplazar o aplicar el parche correspondiente en función del producto y versión:

  • Para VMware vSphere ESXi versión 6.7, aplicar el ESXi670-201811401-BG
  • Para VMware vSphere ESXi versión 6.5, aplicar el ESXi650-201811301-BG
  • Para VMware vSphere ESXi versión 6.0, aplicar el ESXi600-201811401-BG
  • VMware Workstation 15.x, aplicar el 15.0.1
  • VMware Workstation 14.x, aplicar el 14.1.4
  • VMware Fusion 11.x, aplicar el 10.1.1
  • VMware Fusion 10.x, aplicar el 10.1.4
Detalle: 
  • Un uso de memoria de pila no inicializada en el adaptador de red virtual vmxnet3 de los productos VMware ESXi, Fusion y Workstation podría permitir que un invitado ejecute código en el host. El problema está presente si vmxnet3 está habilitado. Los adaptadores virtuales que no sean vmxnet3 no se verán afectados por este problema. Se ha reservado el identificador CVE-2018-6981 para esta vulnerabilidad.
  • Un uso de memoria de pila no inicializada en el adaptador de red virtual vmxnet3 de los productos VMware ESXi podría dar lugar a una fuga de información entre el anfitrión y el invitado. El problema está presente si vmxnet3 está habilitado. Los adaptadores virtuales que no sean vmxnet3 no se verán afectados por este problema. Se ha reservado el identificador CVE-2018-6982 para esta vulnerabilidad.

Encuesta valoración