NUEVA ACTUALIZACIÓN DE SEGURIDAD EN APACHE

18/10/2022

BOLETÍN NRO 2022-598

Recientemente Apache ha publicado una nueva actualización de seguridad para corregir una vulnerabilidad del tipo Zero Day.

 

Servicios Afectados

• Apache Commons Text 1.9.0 y anteriores
• JDK 14.0.2 y anteriores

 

Detalles Tecnicos

CVE:  CVE-2022-42889                                    Severidad:   ALTA   El CVE-2022-42889, que algunos analistas han comenzado a llamar "Text4Shell", es una vulnerabilidad en la biblioteca Apache Commons Text que podría permitir la ejecución remota de código. La vulnerabilidad fue anunciada el 13 de octubre del 2022.  La vulnerabilidad CVE-2022-42889 surge de la implementación insegura de la funcionalidad de interpolación de variables de Commons Text más específicamente, algunas cadenas de búsqueda por defecto podrían aceptar potencialmente entradas no confiables de atacantes remotos, como solicitudes DNS, URLs o scripts en línea. CVE-2022-42889 afecta a las versiones 1.5 a 1.9 de Apache Commons Text. Por este motivo se ha parcheado a partir de la versión 1.10 de Commons Text. Esta brecha de seguridad se ha comparado con Log4Shell, ya que es una vulnerabilidad en la biblioteca de código abierto que probablemente afecte a una amplia variedad de aplicaciones de software que utilizan el objeto en cuestión. Sin embargo, a diferencia de Log4Shell, no es muy común que una aplicación emplee el componente vulnerable de Commons Text para procesar entradas no fiables y potencialmente maliciosas. Además, la versión del JDK es importante para la explotación. Según analistas de seguridad, al igual que en el caso de Spring4Shell, existen considerables advertencias sobre la posible explotación de CVE-2022-42889. Por ello es importante siempre actualizar a la última versión recomendada por el proveedor.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Actualizar a las versiones recomendados por el proveedor de seguridad para mitigar la vulnerabilidad.

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

** Al aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

 

Fuente

• Fuente 1: CVE-2022-42889: Keep Calm and Stop Saying "4Shell"
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com