Dos actualizaciones de seguridad graves para el popular gestor de base de datos  SGBD y el cliente de administración de bases de datos MySQL. Actualizaciones de seguridad para Adobe y Microsoft en su habitual "patch tuesday", el segundo martes de cada mes. Una actualización grave de Microsoft para Windows que afecta a todas y cada una las versiones pero que requiere que un atacante inicie sesión en el sistema primero.

Microsoft parchea una vulnerabilidad 0-day en Windows

Microsoft ha liberado el habitual paquete mensual acumulativo de parches de su sistema operativo Windows para el mes de diciembre.

En esta ocasión se han parcheado un total de 39 vulnerabilidades, 10 de las cuales tienen criticidad alta y otras tantas son valoradas como importantes.

Según Kaspersky, una de las vulnerabilidades era un 0-day que está siendo activamente explotado por varios grupos maliciosos (o APTs) tales como FruityArmor o SandCat.

El fallo en cuestión que está siendo aprovechado permite elevar privilegios a debido a un fallo en el kernel de Windows (ntoskml.exe) y ejecutar código arbitrario. A este fallo se le ha dado el identificador CVE-2018-8611 y consiste en una mala gestión en el procesado de ciertas operaciones en modo kernel. Lo que permite evitar las (modernas) políticas configuradas para los procesos.


Microsoft parcheó un defecto de día cero que ya está siendo explotado (CVE-2018-8611) y le permite a un atacante elevar sus privilegios en un sistema host. La debilidad, que está presente en todas las versiones compatibles de Windows, está etiquetada con la calificación de menos  severa de Microsoft, principalmente porque requiere que un atacante inicie sesión en el sistema primero.

Este fallo afecta a todas las versiones de Windows; desde Windows 7 hasta Windows Server 2019.

Otra vulnerabilidad con el identificador CVE-2018-8517 es una denegación de servicio remota presente en aplicaciones web desarrolladas con el framework .NET cuya causa es un manejo incorrecto de solicitudes web malformadas.

De esta última vulnerabilidad no se tienen evidencias de que haya sido explotada a gran escala.

El resto de parches cubren parches para distintos productos de la familia de Microsoft, tales como Edge, Internet Explorer, Office, etc.

Como siempre, se recomienda aplicar los parches de seguridad tan pronto como sea posible.

 phpMyAdmin versión 4.8.4

El proyecto phpMyAdmin, uno de los sistemas de administración de bases de datos MySQL más populares, dio un aviso el pasado domingo en su blog avisando sobre la última actualización de seguridad, algo que no habían hecho antes.

Además de la típica corrección de errores, esta versión corrige tres vulnerabilidades críticas de seguridad.

Vulnerabilidades corregidas en la versión 4.8.4:

• LFI (CVE-2018-19968): Las versiones de phpMyAdmin de entre 4.0 y 4.8.3 incluyen un error de inclusión de archivos locales que podría permitir la lectura de archivos locales del servidor a un atacante remoto.Para explotar esta vulnerabilidad, el atacante debe tener acceso a las tablas de almacenamiento de configuración de phpMyAdmin, aunque puede crearse fácilmente en cualquier base de datos a la que tenga acceso el atacante.
• CSRF/XSRF (CVE-2018-19969): Las versiones de 4.7.0 a 4.7.6 y de 4.8.0 a 4.8.3 incluyen un defecto de Cross-site Request Forgery que de ser explotado, permitiría a los atacantes realizar operaciones SQL malintencionadas.Para explotar esto únicamente deberían de convencer a las víctimas de que abran enlaces especialmente diseñados.
• XSS (CVE-2018-19970): Hay un fallo de Cross-site Scripting entre las versiones 4.0 y 4.8.3 con el que un atacante puede inyectar código a través de un nombre de tabla/base de datos especialmente diseñado.

Se recomienda a todos los usuarios de este software que actualicen a la última versión cuanto antes.

Mas información:

Descarga de la versión 4.8.4:
https://www.phpmyadmin.net/files/4.8.4/

Comunicado de pre-lanzamiento:
https://www.phpmyadmin.net/news/2018/12/9/upcoming-security-release-pre-announcement/

Vulnerabilidad "Magellan" en SQLite

• El grupo Blade de Tencent ha descubierto un fallo de seguridad en SQLite, que permite realizar RCE, o provocar rupturas inesperadas del programa que utiliza este servicio.

Magellan es una vulnerabilidad de ejecución remota de código descubierta por Tencent Blade Team que existe en SQLite. Como una base de datos bien conocida, SQLite se usa ampliamente en todos los sistemas operativos y software modernos, por lo que esta vulnerabilidad tiene un amplio rango de influencia. Después de probar que Chromium también se vio afectado por esta vulnerabilidad, Google confirmó y solucionó esta vulnerabilidad. No revelaremos ningún detalle de la vulnerabilidad en este momento, y estamos presionando a otros proveedores para que solucionen esta vulnerabilidad lo antes posible.

SQLite es un gestor de base de datos relacional y multiplataforma que encontramos embebido en multitud de aplicaciones y sistemas. Lo que diferencia a SQLite de otros SGBD es que no es un proceso independiente con el que el programa principal se comunica, sino que se lanza con el programa pasando a ser parte integral del mismo. Por eso esta vulnerabilidad estará presente durante largo tiempo en diferentes sistemas y aplicaciones, ya que es necesario actualizar la librería utilizada dentro de la aplicación.

Los investigadores de Tencent han descubierto la posibilidad de encontrar fugas de información del programa que se está ejecutando, detener su ejecución o incluso conseguir ejecutar comandos de forma remota simplemente accediendo a una página web malintencionada, si se da el caso en el que el navegador soporte SQLite junto con la ya obsoleta API WebSQL, que es capaz de traducir el código del exploit a sintaxis SQL. Firefox y Edge no dan soporte a WebSQL, pero otros navegadores basados en el proyecto open-source de Chromium como motor del navegador sí, como es el caso de Google Chrome, Opera, Vivaldi, etc.

Pero, aún siendo los navegadores el principal objetivo de ataque, El equipo Blade afirmó en este comunicado que “ha sido posible explotar ‘Google Home’ con esta vulnerabilidad y actualmente no tienen pensado revelar el código utilizado para explotarla”. Mostrando así que el fallo no solo afecta a algunos navegadores, sino que todos los sistemas que utilicen SQLite que no estén actualizados y cumplan las características necesarias son vulnerables.

El fallo fue reportado al equipo de SQLite y actualizado en la versión SQLite 3.26.0 al igual que se reportó a Chromium y se ha limitado el uso de WebSQL en la nueva versión 71.


Claro que para que cause efecto es necesario utilizar el navegador adecuado, por ejemplo Google Chrome en una versión menor que la 71. En el código podemos ver que se utiliza el motor de búsqueda de texto completo (full-text) FTS3, y que se están alterando los datos de las ‘shadow tables’ manualmente. Por otra parte, la nueva actualización de SQLite da la opción de utilizar estas mismas tablas con permiso ‘read-only’, lo que nos hace pensar en que el fallo nace en los permisos de acceso a las ‘shadow tables’.

Parches para Adobe Reader y Flash

Adobe tiene nuevas versiones de Adobe Reader y Adobe Acrobat que conectan docenas de agujeros de seguridad en los programas. Además, la semana pasada, Adobe emitió un parche de emergencia para corregir una falla de día cero en Flash Player que los malos ahora están usando en ataques activos.

Afortunadamente, Google Chrome, el navegador web más popular, se actualiza automáticamente, pero ahora también permite que los usuarios habiliten Flash de forma explícita cada vez que lo quieran usar (Microsoft también incluye Flash con IE / Edge y lo actualiza cada vez que los sistemas Windows instalar actualizaciones mensuales). Para el verano de 2019, Google hará que los usuarios de Chrome ingresen a su configuración para habilitarla cada vez que quieran ejecutarla.

Firefox también obliga a los usuarios con el complemento Flash instalado a hacer clic para reproducir contenido Flash; Las instrucciones para desactivar o eliminar Flash de Firefox están aquí. Adobe dejará de admitir Flash a finales de 2020.

Fuentes:
https://unaaldia.hispasec.com