Investigadores han revelado una falla de seguridad que afecta a las consolas de base de datos H2 que podría resultar en la ejecución remota de código de una manera que se hace similar a la de la vulnerabilidad Log4j "Log4Shell" que salió a la luz el mes pasado.
El problema, registrado como CVE-2021-42392 , es el "primer problema crítico publicado desde Log4Shell, en un componente que no sea Log4j, que explota la misma causa raíz de la vulnerabilidad de Log4Shell, a saber, la carga de clase remota JNDI", dijeron los investigadores de JFrog, Andrey Polkovnychenko y Shachar Menashe.
H2 es un sistema de gestión de bases de datos relacionales de código abierto escrito en Java que puede integrarse en aplicaciones o ejecutarse en modo cliente-servidor. Según el repositorio de Maven.
JNDI, abreviatura de Java Naming and Directory Interface, se refiere a una API que proporciona funciones de nomenclatura y directorio para aplicaciones Java, que pueden utilizar la API junto con LDAP para localizar un recurso específico que pueda necesitar.
En el caso de Log4Shell , esta función permite búsquedas en tiempo de ejecución en servidores, tanto dentro como fuera de la red, que, a su vez, se pueden utilizar como arma para permitir la ejecución de código remoto no autenticado e implantar malware en el servidor mediante la creación de una búsqueda JNDI maliciosa como entrada para cualquier aplicación Java que utilice versiones vulnerables de la biblioteca Log4j para registrarla.
"De manera similar a la vulnerabilidad Log4Shell descubierta a principios de diciembre, las URL controladas por atacantes que se propagan en búsquedas JNDI pueden permitir la ejecución remota de código no autenticado, dando a los atacantes el control exclusivo sobre el funcionamiento de los sistemas de otra persona u organización", Menashe, director senior de investigación de seguridad de JFrog , explicó.
La falla afecta a las versiones 1.1.100 a 2.0.204 de la base de datos H2 y se solucionó en la versión 2.0.206 enviada el 5 de enero de 2022.
"La base de datos H2 es utilizada por muchos marcos de terceros, incluidos Spring Boot, Play Framework y JHipster", agregó Menashe. "Si bien esta vulnerabilidad no está tan extendida como Log4Shell, aún puede tener un impacto dramático en los desarrolladores y sistemas de producción si no se aborda en consecuencia".
https://thehackernews.com/2022/01/log4shell-like-critical-rce-flaw.html
