Se han hecho públicas varias vulnerabilidades de criticidad alta y crítica en los productos Apache HTTP Server y Apache SkyWalking. A continuación, se detallan los identificadores CVE asignados a cada vulnerabilidad y producto:
Apache HTTP_Server:
La primera vulnerabilidad, a la que se ha asignado el identificador CVE-2020-11984, reside en el módulo mod_proxy_uwsgi del servidor web Apache HTTP, en las versiones comprendidas entre la 2.4.32 y la 2.4.44, ambas incluidas. Su explotación permitiría a un posible atacante no autenticado la ejecución de código remoto y filtrar información. Además, la vulnerabilidad afecta en un alto grado a la confidencialidad, integridad y disponibilidad del sistema.
La segunda vulnerabilidad, a la que se ha asignado el identificador CVE-2020-11993, reside en las versiones comprendidas entre la 2.4.20 y la 2.4.43, ambas incluidas, del servidor web Apache HTTP cuando se habilita la opción trace/debug en el módulo HTTP/2 y en ciertos patrones de borde de tráfico, lo que provoca que las declaraciones de registros se realicen en una conexión incorrecta, lo que conduce al uso simultáneo de grupos de memoria. La vulnerabilidad afecta en un alto grado a la disponibilidad del sistema.
La tercera vulnerabilidad, a la que se ha asignado el identificador CVE-2020-9490, reside en las versiones comprendidas entre la 2.4.20 y la 2.4.43, ambas incluidas, del servidor web Apache HTTP. Su explotación permitiría a un posible atacante que introdujese un valor especialmente diseñado para la cabecera “Cache-Digest” generar una condición de bloqueo cuando el servidor trata de enviar una respuesta HTTP / 2 PUSH tras el recurso solicitado.
La base de datos del NIST ha asignado a la primera vulnerabilidad una criticidad de 9.8 según la escala CVSSv3.1, mientras que a la segunda se le ha otorgado una puntuación de 7.5 según la escala CVSSv3.1 y la tercera permanece bajo análisis, por lo que aún no se le ha asignado su correspondiente criticidad. Hasta la fecha no se conoce actividad dañina en la red ni exploits que aprovechen estas vulnerabilidades.
Recursos afectados:
- CVE-2020-11984: La vulnerabilidad reside en las versiones comprendidas entre la 2.4.32 y la 2.4.44 del servidor web Apache HTTP, ambas incluidas.
- CVE-2020-11993 y CVE-2020-9490: Las vulnerabilidades residen en las versiones comprendidas entre la 2.4.20 y la 2.4.43 del servidor web Apache HTTP, ambas incluidas.
Solución a las vulnerabilidades:
Actualizar las versiones vulnerables del servidor web Apache HTTP a través del enlace que se ofrece a continuación:
Apache SkyWalking:
CVE-2020-13921: se ha detectado una vulnerabilidad crítica en Apache SkyWalking, una herramienta de monitorización de rendimiento de aplicaciones para sistemas distribuidos, nubes nativas y arquitecturas basadas en contenedores. La vulnerabilidad se ubica en una función desconocida del componente H2/MySQL/TiDB cuando éste se usa como almacenamiento de Apache SkyWalking, de forma que un posible atacante podría realizar inyecciones SQL.
La base de datos del NIST ha asignado una criticidad de 9.8 según la escala CVSSv3 a esta vulnerabilidad. Hasta la fecha no se conoce actividad dañina en la red, ni exploits que aprovechen esta vulnerabilidad.
Recursos afectados:
- CVE-2020-13921: La vulnerabilidad reside en las versiones 6.5.0, 6.6.0, 7.0.0, 8.0.0, 8.0.1 de Apache SkyWalking.
Solución a la vulnerabilidad:
Actualizar las versiones vulnerables de Apache SkyWalking a través del enlace que se ofrece a continuación:
Recomendaciones:
El CSIRT de Entelgy Innotec Security recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
Por el momento no se conocen medidas de mitigación alternativas a esta vulnerabilidad en caso de no ser posible aplicar la actualización descrita.
Referencias:
