Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

31/07/2018

Encontradas dos vulnerabilidades en Apache OpenWhisk

PureSec halla dos fallos graves en OpenWhisk, la arquitectura Function as a Service (ejecución de funciones en la nube) donde es posible cambiar el código a ejecutar por cualquier otro lo que abre la puerta a problemas de seguridad de todo tipo.

El fallo se detecta siempre y cuando la función legítima a ejecutar utilice el interfaz API REST del contenedor Docker que despliega en la nube la función remota para ejecutarse.

En ese caso es posible enviar una nueva función a ejecutar en el terminador /init que sustituirá el proceso por el nuevo que puede ser utilizado en todas las ejecuciones posteriores con todo tipo de fines maliciosos.

Más información

 

 

 

Sistemas Afectados:

openwhisk/action-php-v7.1:1.0.1 y anteriores

openwhisk/action-php-v7.2:1.0.1 y anteriores

Referencias:

CVE-2018-11756, CVE-2018-11757

Solución:

Actualizar las librerías de openwihisk a /action-php-v7.1:1.0.2 o /action-php-v7.2:1.0.2 o posteriores

Notas: None

CSIRT-CV