data-database-banco-de-dados

Falha no IBM Db2 permite que qualquer usuário acesse dados

Problema está na falta de proteções para memória compartilhada, descoberto por um pesquisador da Trustwave
Da Redação
21/08/2020
Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

Por alguma razão, os desenvolvedores do Db2 da IBM não colocaram proteções na área de memória compartilhada usada pelo recurso de rastreamento da plataforma. Isso permite que qualquer usuário local tenha acesso de leitura e gravação a essa área de memória, afirma o pesquisador Martin Rakhmanov, da Trustwave, que descobriu o problema e o informou à IBM. Embora tenha um indicador de risco de apenas 4.4, é um problema preocupante, já que o Db2 é utilizado por grandes empresas, incluindo a brasileira Via Varejo, segundo a consultoria de marketing Enlyft.

Essa vulnerabilidade é exatamente a mesma que existia no cliente para Windows do Cisco WebEx, explicou ontem Rakhmanov, ao descrever a prova de conceito que confirma a falha. Segundo ele, “os desenvolvedores se esqueceram de colocar proteções de memória explícita em torno da memória compartilhada usada pelo recurso de rastreamento do Db2. Isso permite que qualquer usuário local tenha acesso de leitura e gravação a essa área de memória. Por sua vez, isso permite acessar dados criticamente sensíveis, e torna possível alterar o funcionamento do subsistema de rastreamento, resultando em uma condição de negação de serviço no banco de dados. Desnecessário dizer que ambos não deveriam ser possíveis para usuários regulares”.

Veja isso
Brasil é recordista em vazamentos de dados de cartão de crédito
Falha da OAB deixou expostos dados de todos os advogados do país

Para conferir a vulnerabilidade, Rakhmanov informa que basta abrir o Process Explorer do Windows ou outra ferramenta semelhante para verificar os acessos abertos para o processo principal do Db2. Ele publicou uma imagem da sua própria tela para demonstrar que “não há absolutamente nenhuma permissão atribuída à memória compartilhada para que qualquer pessoa possa ler e escrever nela”.

Clique para ampliar a imagem

A vulnerabilidade foi catalogada como CVE-2020-4414 e afeta o IBM DB2 para Linux, UNIX e Windows (incluindo o Db2 Connect Server), nas versões 9.7, 10.1, 10.5, 11.1 e 11.5. A IBM, que publicou um patch para o bug em 30 de junho, explica que um invasor pode enviar solicitações especialmente criadas para explorar a falha.

Compartilhar:

Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest