HP
ha publicado actualizaciones para corregir once
problemas de seguridad en HP Network Node Manager i (NNMi) versiones 8.x, 9.0x
y 9.1x (para HP-UX, Linux, Solaris y Windows con PostgreSQL). Todos los
problemas están relacionados con la base de datos PostgreSQL y podrían permitir
a un atacante remoto ejecutar código
arbitrario o ataques de denegación de servicio.
HP Network Node Manager i (NNMi)
es un conjunto de herramientas para la administración de redes, permite la
supervisión de la red en tiempo real y la gestión de incidentes de red. El software
incluye propiedades destinadas a identificar la raíz de los problemas de
rendimiento utilizando una combinación de procesos de descubrimiento continuo,
correlación de eventos y automatización.
Las vulnerabilidades están
identificadas con los CVE: CVE-2009-0922, CVE-2009-3229, CVE-2009-3230,
CVE-2009-3231, CVE-2009-4034, CVE-2009-4136, CVE-2010-1169, CVE-2010-1170,
CVE-2010-1975, CVE-2010-3433 y CVE-2010-4015. Los problemas se deben a diversos
fallos en componentes de la base de datos PostgreSQL dado que el software
utiliza este sistema para el almacenamiento de información. Lo más destacable
de todo es que estos problemas están confirmados y documentados desde hace más de dos años (en algunos casos
hasta tres años). Realmente constituyen actualizaciones de la base de datos
ya
publicados desde hace años (incluso
a través de este boletín).
Un atacante remoto podría aprovechar
estas vulnerabilidades para realizar ataques de denegación de servicio y
ejecutar código arbitrario en los sistemas afectados.
HP ha publicado las siguientes actualizaciones para las
versiones 9.0x y 9.1x:
Los usuarios de HP Network Node
Manager i 8.x deben actualizar a las versiones 9.xx.
Se recomienda emplear HP-UX
Software Assistant para la descarga y despliegue de las actualizaciones.
Más información:
HPSBMU02781 SSRT100617 rev.1 - HP Network Node
Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows running PostgreSQL,
Remote Execution of Arbitrary Code, Denial of Service (DoS)
una-al-dia (23/03/2009)
Denegación de servicio en PostgreSQL
una-al-dia (16/05/2010)
Vulnerabilidades de ejecución de código en PostgreSQL
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario