Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Múltiples vulnerabilidades en Cloud Kubernetes Service y en Marketing Platform de IBM

Fecha de publicación 07/12/2018
Importancia
5 - Crítica
Recursos Afectados
  • IBM Cloud Kubernetes Service versiones desde la 1.12.0 hasta la 1.12.2, desde la 1.11.0 hasta la 1.11.4, desde la 1.10.0 hasta la 1.10.10 y desde la 1.5 hasta la 1.9
  • IBM Marketing Platform versiones 9.1.0, 9.1.2 y 10.1
Descripción

IBM ha publicado varias vulnerabilidades que podrían permitir el acceso no autorizado o la escalada de privilegios en Kubernetes API Server y la divulgación de información o el consumo de memoria en IBM Marketing Platform.

Solución
  • Para IBM Cloud Kubernetes Service, compruebe la versión de su clúster mediante el comando clusters de ibmcloud ks y verifique lo siguiente:
    • Las versiones 1.10 y posteriores han sido actualizadas sin necesidad de intervención por parte de los usuarios.
    • Las versiones 1.12.3, 1.11.5 o 1.10.11, no se ven afectadas por la vulnerabilidad.
    • Si el clúster se encuentra en las versiones 1.10, 1.11 o 1.12 y no se ha actualizado automáticamente, contacte con el servicio IBM Cloud Support para obtener ayuda.
    • Las versiones 1.8 y 1.9 deberán actualizar a las versiones 1.10, 1.11 o 1.12.
    • Las versión 1.7 deben actualizarse previamente a la versión 1.9 y posteriormente a la 1.10, 1.11 o 1.12.
    • La versión 1.5 no es posible actualizar.
  • Para IBM Marketing Platform:
Detalle
  • Un manejo inadecuado de las solicitudes en el servidor API de Kubernetes podría permitir a un atacante remoto, mediante una solicitud de proxy especialmente diseñada enviada directamente al backend, establecer una conexión y crear servicios gestionados e implementar código malicioso con privilegios elevados, Se ha asignado el código CVE-2018-1002105 para esta vulnerabilidad de severidad crítica.
  • IBM Marketing Platform es vulnerable a un ataque de XML External Entity Injection (XXE) al procesar datos XML. Un atacante remoto podría exponer información sensible o consumir recursos de memoria. Se han reservado los códigos CVE-2018-1920 y CVE-2018-1424 para estas vulnerabilidades de severidad alta.

Encuesta valoración

Listado de referencias
Security Bulletin: IBM Cloud Kubernetes Service is affected by a privilege escalation vulnerability in Kubernetes API server
Security Bulletin: Unauthenticated XML External Entity Injection Vulnerability Affects IBM Marketing Platform (CVE-2018-1920, CVE-2018-1424)
Etiquetas