Se ha revelado una vulnerabilidad de seguridad cr\u00edtica en el marco Quarkus Java que podr\u00eda explotarse potencialmente para lograr la ejecuci\u00f3n remota de c\u00f3digo en los sistemas afectados.<\/p>\n
rastreado como CVE-2022-4116<\/a> (Puntuaci\u00f3n CVSS: 9,8), un actor malintencionado sin privilegios podr\u00eda abusar trivialmente de la deficiencia.<\/p>\n “La vulnerabilidad se encuentra en Dev UI Config Editor, que es vulnerable a ataques de host local que podr\u00edan conducir a la ejecuci\u00f3n remota de c\u00f3digo (RCE)”, Joseph Beeton, investigador de Contrast Security, quien inform\u00f3 el error. dijo<\/a> en un escrito.<\/p>\n Quarkus, desarrollado por Red Hat, es un proyecto de c\u00f3digo abierto<\/a> que se utiliza para crear aplicaciones Java en contenedorizado<\/a> y entornos sin servidor.<\/p>\n Vale la pena se\u00f1alar que el tema<\/a> solo afecta a los desarrolladores que ejecutan Quarkus y son enga\u00f1ados para que visiten un sitio web especialmente dise\u00f1ado, que est\u00e1 incrustado con un c\u00f3digo JavaScript malicioso dise\u00f1ado para instalar o ejecutar cargas \u00fatiles arbitrarias.<\/p>\n Esto podr\u00eda tomar la forma de un ataque de spear-phishing o de un pozo de agua sin requerir ninguna interacci\u00f3n adicional por parte de la v\u00edctima. Alternativamente, el ataque se puede llevar a cabo mediante la publicaci\u00f3n de anuncios maliciosos en sitios web populares frecuentados por desarrolladores.<\/p>\n los IU de desarrollo<\/a>que se ofrece a trav\u00e9s de un Modo de desarrollo<\/a>est\u00e1 obligado a servidor local<\/a> (es decir, el host actual) y permite a un desarrollador monitorear el estado de una aplicaci\u00f3n, cambiar la configuraci\u00f3n, migrar bases de datos y borrar cach\u00e9s.<\/p>\n Debido a que est\u00e1 restringida a la m\u00e1quina local del desarrollador, la interfaz de usuario de Dev tambi\u00e9n carece de controles de seguridad cruciales como la autenticaci\u00f3n y el uso compartido de recursos de origen cruzado (CORS<\/a>) para evitar que un sitio web fraudulento lea los datos de otro sitio.<\/p>\n El problema identificado por Contrast Security radica en el hecho de que el c\u00f3digo JavaScript alojado en un sitio web con malware puede convertirse en un arma para modificar la configuraci\u00f3n de la aplicaci\u00f3n Quarkus a trav\u00e9s de un Solicitud HTTP POST<\/a> para desencadenar la ejecuci\u00f3n del c\u00f3digo.<\/p>\n “Si bien solo afecta el modo Dev, el impacto sigue siendo alto, ya que podr\u00eda llevar a un atacante a obtener acceso local a su caja de desarrollo”, Quarkus. se\u00f1alado<\/a> en una asesor\u00eda independiente.<\/p>\n Se recomienda a los usuarios que actualicen a la versi\u00f3n 2.14.2.Final y 2.13.5.Final para protegerse contra la falla. Una posible soluci\u00f3n es mover todos los puntos finales que no son de aplicaci\u00f3n a una ruta ra\u00edz aleatoria.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/11\/Los-investigadores-detallan-la-vulnerabilidad-entre-inquilinos-de-AppSync-en.jpg\")
<\/a><\/center><\/div>\n![\"marco](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/12\/1669920897_123_Los-investigadores-revelan-una-vulnerabilidad-critica-de-RCE-que-afecta.png\" "\\"marco")
<\/div>\n